Просмотрщик EVTX

Откройте журнал событий Windows на любой машине — без компьютера с Windows, без Просмотра событий, без установки. Перетащите файл .evtx ниже, и он будет разобран локально, в этой вкладке браузера сборкой WebAssembly того же движка парсера, который используют криминалистические инструменты: сначала сводка (количество записей, временной диапазон, каналы, главные поставщики и идентификаторы событий), затем фильтруемая таблица, где каждая запись раскрывается в её структурированные поля и необработанный XML. Журналы событий — это улики: они называют пользователей, машины, IP-адреса и время входа в систему, — поэтому файл никогда не загружается, не протоколируется и не покидает ваше устройство.

Последнее обновление:

Перетащите сюда файл .evtx или выберите его — до 64 MB. Подходят как экспортированные журналы (щёлкните журнал правой кнопкой в Просмотре событий → «Сохранить все события как…»), так и файлы, скопированные из C:\Windows\System32\winevt\Logs. Ничего не загружается: разбор происходит на вашем устройстве, в Web Worker, с отображением прогресса по ходу работы.

Разбор выполняется крейтом evtx (Rust, версия 0.14.0), используемым по лицензии MIT или Apache-2.0 и скомпилированным в WebAssembly с тонкой обёрткой, поддерживаемой в репозитории этого сайта. Парсер работает полностью в вашем браузере.

Что это показывает — и чего файл .evtx рассказать не может

Файл .evtx хранит каждое событие как структурированный бинарный XML: блок System (идентификатор события, поставщик, канал, уровень, метка времени, идентификатор записи) и поля данных события (EventData или UserData). Именно эту структуру и отображает этот просмотрщик — с сортировкой, фильтрацией и экспортом. Чего файл не содержит, так это понятного текста сообщения, который показывает Просмотр событий («Учётной записи не удалось войти в систему…»). Windows формирует этот текст на машине, записавшей журнал, из DLL сообщений, принадлежащих каждому поставщику; значения вида %%14592 в данных — это заполнители для строк из этих DLL. Любой инструмент, который показывает вам отполированный текст сообщения для чужого файла .evtx, реконструирует его или угадывает — этот показывает вам поля, которые и являются собственно уликой, а также необработанный XML, когда вы хотите увидеть запись ровно в том виде, в каком она хранится. Сопутствующее руководство, чтение файлов EVTX без машины с Windows, разбирает порядок первичной сортировки на реальных идентификаторах событий.

Ещё две честные оговорки. Метки времени внутри файла .evtx указаны в UTC; Просмотр событий показывает их, преобразовав в местное время машины, на которой вы открываете журнал, что уже не раз путало хронологию, — таблица здесь остаётся в UTC и прямо об этом говорит. И повреждённый или обрезанный журнал не «причёсывается» молча: блоки, которые не удалось разобрать, перечислены над таблицей с их смещениями в байтах, чтобы вы точно знали, какой части файла вы не видите. Повреждение на уровне блоков — обычное дело для журналов, вырезанных из образов дисков, а записи вокруг повреждения по-прежнему разбираются. Для соседней задачи файловой форензики анализатор PCAP читает захваты пакетов по тому же правилу — локально, никогда не загружая.

Часто задаваемые вопросы

Могу ли я открыть файл .evtx на Mac или на машине с Linux?

Да — именно для этого эта страница и существует. Просмотр событий есть только в Windows, но формат .evtx — это документированный бинарный формат, а парсер здесь (сборка WebAssembly крейта evtx на Rust) работает в любом современном браузере на любой операционной системе. Скопируйте файл с машины с Windows или из образа диска, перетащите его сюда и читайте там, где вы находитесь.

Почему я не вижу текст сообщения события, как в Просмотре событий?

Потому что его нет в файле. Файл .evtx хранит структурированные поля каждого события; предложение, которое показывает Просмотр событий, формируется на машине с Windows из DLL сообщений поставщика, которая с журналом не путешествует. Значения вида %%14592 — это ссылки на строки из этих DLL. Этот просмотрщик показывает вам всё, что файл действительно содержит, — блок System, каждое поле EventData/UserData и необработанный XML — вместо того, чтобы выдумывать текст сообщения, которого он знать не может.

Безопасно ли открывать здесь конфиденциальный журнал? Куда уходит файл?

Никуда. Файл читает Web Worker в вашей собственной вкладке браузера; точки загрузки нет, учётной записи нет, содержимое файлов не протоколируется. Убедиться в этом можно так же, как и с другими локальными инструментами на этом сайте: загрузите страницу, отключитесь от сети — и анализ по-прежнему будет работать. Это важно, потому что журналы событий называют пользователей, машины и IP-адреса, — обращайтесь с ними как с уликами, а не как с чем-то, что можно вставлять в облачные конвертеры или ИИ-чаты.

В сводке перечислены блоки, которые не удалось прочитать. Мой файл сломан?

Частично, и для журналов, восстановленных из образов дисков или прерванных копий, это нормально. Файл .evtx — это последовательность блоков по 64 KB; повреждение обычно убивает отдельные блоки, а не файл. Просмотрщик сообщает о каждом нечитаемом блоке с его смещением в байтах и разбирает всё вокруг него, чтобы вы точно знали, чего не хватает, вместо молча укороченного журнала. Блок, целиком состоящий из нулей, — это заранее выделенное место, а не повреждение, и он пропускается без комментария — точно так, как к нему относится Windows.

Журнал какого размера я могу открыть?

До 64 MB, что при типичной плотности журнала «Безопасность» составляет порядка 130 000 записей. Разбор идёт потоком, пакетами, с отображением прогресса, поэтому даже файл такого размера остаётся отзывчивым; таблица показывает результаты постранично, а не отрисовывает каждую строку сразу. Если вам нужно разделить журнал большего размера, экспортируйте нужные отфильтрованные подмножества как JSON или CSV и работайте с ними.