EVTX 查看器

在任何机器上打开 Windows 事件日志——不需要 Windows 电脑，不需要事件查看器，也不用安装。把 .evtx 文件放到下面，它会由取证工具所用同一解析引擎的 WebAssembly 构建版在本浏览器标签页中本地解析：先看摘要（记录数、时间范围、通道、最常见的提供程序和事件 ID），再看可筛选的表格，每条记录都能展开查看其结构化字段和原始 XML。事件日志是证据——里面写着用户、机器、IP 地址和登录时间——所以文件绝不上传、绝不记录，也绝不离开你的设备。

最后更新:

把 .evtx 文件拖到这里或选择一个——最大 64 MB。导出的日志（在事件查看器中右键点击某个日志 → 将所有事件另存为…）和从 C:\Windows\System32\winevt\Logs 复制出来的文件都可以使用。什么都不上传：解析在你的设备上、一个 Web Worker 中进行，并实时显示进度。

解析由 evtx crate（Rust，版本 0.14.0）提供支持，依 MIT 或 Apache-2.0 许可证使用，编译为 WebAssembly，并带一层由本站仓库维护的轻量封装。解析器完全在你的浏览器中运行。

这里展示了什么——以及 .evtx 无法告诉你什么

一个 .evtx 文件把每条事件存储为结构化的二进制 XML：一个 System 块（事件 ID、提供程序、通道、级别、时间戳、记录 ID）和该事件的数据字段（EventData 或 UserData）。这一结构正是本查看器呈现的内容——可排序、可筛选、可导出。文件中没有的是事件查看器显示的那段友好消息文本（“有帐户登录失败…”）。Windows 在写入日志的那台机器上、从每个提供程序的消息 DLL 中渲染那段文本；数据中像 %%14592 这样的值是那些 DLL 字符串的占位符。任何为一份外来 .evtx 显示打磨好消息文本的工具，都是在重建或猜测它——本工具向你展示字段，那才是真正构成证据的部分；当你想按原样查看记录的存储形式时，还有原始 XML。配套指南在没有 Windows 机器时读取 EVTX 文件，用真实事件 ID 演练了一套分诊流程。

再说两点诚实的说明。.evtx 内部的时间戳是 UTC；事件查看器显示时会把它们转换为你打开日志的那台机器的本地时间，这已经让不止一条时间线被搞混过——这里的表格保持 UTC，并明确标注。另外，损坏或截断的日志不会被悄悄“清理”：无法解析的块会连同其字节偏移列在表格上方，你确切知道文件的哪一部分是你没有看到的。块级损坏在从磁盘镜像中雕刻出的日志里很常见，而损坏周围的记录仍能解析。对于相邻的文件取证工作，PCAP 分析器按同一规则读取抓包文件——在本地解析，绝不上传。

常见问题

我可以在 Mac 或 Linux 机器上打开 .evtx 文件吗？

可以——这正是本页的意义所在。事件查看器只存在于 Windows 上，但 .evtx 是一种有文档记录的二进制格式，而这里的解析器（Rust evtx crate 的 WebAssembly 构建版）可以在任何操作系统上的任何现代浏览器中运行。把文件从 Windows 机器或磁盘镜像中复制出来，放到这里，就能在你所在的地方读取它。

为什么我看不到像事件查看器那样的事件消息文本？

因为它不在文件里。.evtx 存储的是每条事件的结构化字段；事件查看器显示的那句话，是 Windows 机器从提供程序的消息 DLL 中渲染出来的，而 DLL 并不随日志一同转移。像 %%14592 这样的值是对那些 DLL 字符串的引用。本查看器向你展示文件实际包含的一切——System 块、每一个 EventData/UserData 字段和原始 XML——而不是编造它无从知道的消息文本。

在这里打开敏感日志安全吗？文件会去哪里？

哪里也不去。文件由你自己的浏览器标签页中的一个 Web Worker 读取；没有上传端点，没有帐户，也不记录文件内容。你可以用与本站其他本地工具相同的方式验证这一点：加载页面，断开网络，分析仍然可以工作。这一点很重要，因为事件日志会写明用户、机器和 IP 地址——把它们当作证据对待，而不是粘贴到云端转换器或 AI 聊天里的东西。

摘要列出了无法读取的块。我的文件坏了吗？

部分损坏了，而这对从磁盘镜像恢复的、或复制中途中断的日志来说很正常。一个 .evtx 是一连串 64 KB 的块；损坏通常只会毁掉单个块，而不是整个文件。查看器会连同字节偏移报告每个无法读取的块，并解析它周围的一切，这样你确切知道缺了什么，而不是拿到一份被悄悄缩短的日志。全为零的块是预分配的空间，不是损坏，会不加评论地跳过——这正是 Windows 对待它的方式。

我能打开多大的日志？

最大 64 MB，以一个典型安全日志的密度计算，大约相当于 130,000 条记录。解析以批次流式进行并显示进度，所以即便这么大的文件也能保持响应；表格会对结果分页，而不是一次渲染每一行。如果你需要拆分更大的日志，把你在意的筛选子集导出为 JSON 或 CSV，再基于它们工作。