EVTX दर्शक

किसी भी मशीन पर Windows इवेंट लॉग खोलें — न Windows मशीन, न Event Viewer, न कोई इंस्टॉल। नीचे एक .evtx फ़ाइल डालें और वह स्थानीय रूप से, इसी ब्राउज़र टैब में उसी पार्सर इंजन की WebAssembly बिल्ड द्वारा पार्स होती है जिसका उपयोग फोरेंसिक टूल करते हैं: पहले सारांश (रिकॉर्ड गिनती, समय सीमा, चैनल, शीर्ष प्रदाता और Event ID), फिर एक छाँटने योग्य तालिका जहाँ हर रिकॉर्ड अपने संरचित फ़ील्ड और अपने कच्चे XML में खुलता है। इवेंट लॉग सबूत होते हैं — वे उपयोगकर्ताओं, मशीनों, IP पतों और लॉगऑन समयों के नाम बताते हैं — इसलिए फ़ाइल कभी अपलोड नहीं होती, कभी लॉग नहीं होती और कभी आपका डिवाइस नहीं छोड़ती।

अंतिम अपडेट:

यहाँ एक .evtx फ़ाइल डालें या एक चुनें — 64 MB तक। निर्यात किए गए लॉग (Event Viewer में किसी लॉग पर राइट-क्लिक करें → Save All Events As…) और C:\Windows\System32\winevt\Logs से कॉपी की गई फ़ाइलें, दोनों काम करती हैं। कुछ भी अपलोड नहीं होता: पार्सिंग आपके डिवाइस पर, एक Web Worker में, प्रगति दिखाते हुए होती है।

पार्सिंग evtx crate (Rust, संस्करण 0.14.0) द्वारा संचालित है, जिसका उपयोग MIT या Apache-2.0 लाइसेंस के तहत किया जाता है और जिसे इस साइट के रिपॉज़िटरी में रखी गई एक पतली रैपर के साथ WebAssembly में संकलित किया गया है। पार्सर पूरी तरह आपके ब्राउज़र में चलता है।

यह क्या दिखाता है — और एक .evtx आपको क्या नहीं बता सकता

एक .evtx फ़ाइल हर इवेंट को संरचित बाइनरी XML के रूप में संग्रहीत करती है: एक System ब्लॉक (Event ID, प्रदाता, चैनल, स्तर, टाइमस्टैम्प, रिकॉर्ड ID) और इवेंट के डेटा फ़ील्ड (EventData या UserData)। यही संरचना यह दर्शक प्रस्तुत करता है — क्रमबद्ध करने योग्य, छाँटने योग्य, निर्यात करने योग्य। फ़ाइल में जो नहीं होता, वह है वह दोस्ताना संदेश पाठ जो Event Viewer दिखाता है (“एक खाता लॉग ऑन करने में विफल रहा…”)। Windows उस पाठ को उस मशीन पर प्रस्तुत करता है जिसने लॉग लिखा था, हर प्रदाता से जुड़ी संदेश DLL से; डेटा में %%14592 जैसे मान उन DLL स्ट्रिंग के लिए प्लेसहोल्डर होते हैं। कोई भी टूल जो आपको किसी विदेशी .evtx के लिए पॉलिश किया हुआ संदेश पाठ दिखाए, वह उसे फिर से बना रहा होता है या उसका अनुमान लगा रहा होता है — यह टूल आपको फ़ील्ड दिखाता है, जो असल में सबूत वाला हिस्सा है, और जब आप रिकॉर्ड को ठीक वैसे देखना चाहें जैसा वह संग्रहीत है, तो कच्चा XML। साथ वाली मार्गदर्शिका, बिना Windows मशीन के EVTX फ़ाइलें पढ़ना, असली Event ID के साथ एक ट्राइएज दिनचर्या को विस्तार से समझाती है।

दो और ईमानदार टिप्पणियाँ। किसी .evtx के भीतर के टाइमस्टैम्प UTC में होते हैं; Event Viewer उन्हें उस मशीन के स्थानीय समय में बदलकर दिखाता है जिस पर आप उसे खोलते हैं, जिसने एक से अधिक समयरेखा को भ्रमित किया है — यहाँ की तालिका UTC में रहती है और ऐसा कहती भी है। और कोई भ्रष्ट या कटा हुआ लॉग चुपचाप “साफ़” नहीं किया जाता: जो खंड पार्स होने में विफल रहते हैं, वे तालिका के ऊपर अपने बाइट ऑफ़सेट के साथ सूचीबद्ध होते हैं, ताकि आप ठीक-ठीक जानें कि फ़ाइल का कितना हिस्सा आप नहीं देख रहे हैं। डिस्क छवियों से उकेरे गए लॉग में खंड-स्तर की क्षति सामान्य होती है, और क्षति के आसपास के रिकॉर्ड फिर भी पार्स होते हैं। पड़ोसी फ़ाइल-फोरेंसिक कामों के लिए, PCAP विश्लेषक पैकेट कैप्चर को उसी नियम के तहत पढ़ता है — स्थानीय रूप से, कभी अपलोड नहीं।

अक्सर पूछे जाने वाले प्रश्न

क्या मैं Mac या Linux मशीन पर .evtx फ़ाइल खोल सकता हूँ?

हाँ — इस पेज का उद्देश्य ही यही है। Event Viewer केवल Windows पर मौजूद है, लेकिन .evtx फ़ॉर्मैट एक प्रलेखित बाइनरी फ़ॉर्मैट है, और यहाँ का पार्सर (Rust evtx crate की WebAssembly बिल्ड) किसी भी ऑपरेटिंग सिस्टम पर किसी भी आधुनिक ब्राउज़र में चलता है। फ़ाइल को Windows मशीन या डिस्क छवि से कॉपी करें, यहाँ डालें, और जहाँ आप हैं वहीं उसे पढ़ें।

मुझे Event Viewer की तरह इवेंट संदेश पाठ क्यों नहीं दिखता?

क्योंकि वह फ़ाइल में होता ही नहीं। एक .evtx हर इवेंट के संरचित फ़ील्ड संग्रहीत करता है; Event Viewer जो वाक्य दिखाता है, वह Windows मशीन पर प्रदाता की संदेश DLL से प्रस्तुत किया जाता है, जो लॉग के साथ यात्रा नहीं करती। %%14592 जैसे मान उन DLL स्ट्रिंग के संदर्भ होते हैं। यह दर्शक आपको वह सब दिखाता है जो फ़ाइल में वास्तव में है — System ब्लॉक, हर EventData/UserData फ़ील्ड, और कच्चा XML — बजाय उस संदेश पाठ का आविष्कार करने के जिसे वह जान ही नहीं सकता।

क्या यहाँ एक संवेदनशील लॉग खोलना सुरक्षित है? फ़ाइल कहाँ जाती है?

कहीं नहीं। फ़ाइल आपके अपने ब्राउज़र टैब में एक Web Worker द्वारा पढ़ी जाती है; कोई अपलोड एंडपॉइंट नहीं है, कोई खाता नहीं है और फ़ाइल सामग्री की कोई लॉगिंग नहीं है। आप इसकी पुष्टि उसी तरह कर सकते हैं जैसे इस साइट के अन्य स्थानीय टूल के साथ करते हैं: पेज लोड करें, ऑफ़लाइन हो जाएँ, और विश्लेषण फिर भी काम करता है। यह मायने रखता है, क्योंकि इवेंट लॉग उपयोगकर्ताओं, मशीनों और IP पतों के नाम बताते हैं — उन्हें सबूत की तरह बरतें, न कि ऐसी चीज़ की तरह जिसे क्लाउड कनवर्टर या AI चैट में चिपकाया जाए।

सारांश में वे खंड सूचीबद्ध हैं जिन्हें पढ़ा नहीं जा सका। क्या मेरी फ़ाइल टूटी हुई है?

आंशिक रूप से, और डिस्क छवियों से बरामद या बीच में रुकी कॉपियों से आए लॉग के लिए यह सामान्य है। एक .evtx 64 KB खंडों का एक क्रम होती है; क्षति आम तौर पर पूरे फ़ाइल को नहीं, अलग-अलग खंडों को खत्म करती है। दर्शक हर अपठनीय खंड को उसके बाइट ऑफ़सेट के साथ बताता है और उसके आसपास की हर चीज़ को पार्स करता है, ताकि आप ठीक-ठीक जानें कि क्या गायब है, बजाय चुपचाप छोटा किए गए लॉग के। जो खंड पूरी तरह शून्यों से भरा हो, वह पहले से आवंटित जगह होती है, क्षति नहीं, और उसे बिना टिप्पणी के छोड़ दिया जाता है — ठीक वैसे ही जैसे Windows उसे बरतता है।

मैं कितना बड़ा लॉग खोल सकता हूँ?

64 MB तक, जो एक सामान्य Security लॉग के घनत्व पर लगभग 130,000 रिकॉर्ड के क्रम का होता है। पार्सिंग प्रगति के साथ बैचों में प्रवाहित होती है, इसलिए उस आकार की फ़ाइल भी उत्तरदायी बनी रहती है; तालिका अपने परिणामों को पृष्ठों में दिखाती है, बजाय हर पंक्ति को एक साथ प्रस्तुत करने के। यदि आपको कोई बड़ा लॉग बाँटना हो, तो जिन छाँटे गए उपसमूहों की आपको परवाह है उन्हें JSON या CSV के रूप में निर्यात करें और उनसे काम करें।