EVTX 檢視器

在任何機器上開啟 Windows 事件記錄——不需要 Windows 電腦，不需要事件檢視器，也不用安裝。把 .evtx 檔案放到下面，它會由鑑識工具所用同一解析引擎的 WebAssembly 建置版在本瀏覽器分頁中本機解析：先看摘要（記錄數、時間範圍、通道、最常見的提供者和事件 ID），再看可篩選的表格，每條記錄都能展開檢視其結構化欄位和原始 XML。事件記錄是證據——裡面寫著使用者、機器、IP 位址和登入時間——所以檔案絕不上傳、絕不記錄，也絕不離開你的裝置。

最後更新:

把 .evtx 檔案拖到這裡或選擇一個——最大 64 MB。匯出的記錄（在事件檢視器中以右鍵按一下某個記錄 → 將所有事件另存新檔…）和從 C:\Windows\System32\winevt\Logs 複製出來的檔案都可以使用。什麼都不上傳：解析在你的裝置上、一個 Web Worker 中進行，並即時顯示進度。

解析由 evtx crate（Rust，版本 0.14.0）提供支援，依 MIT 或 Apache-2.0 授權使用，編譯為 WebAssembly，並帶一層由本站儲存庫維護的輕量封裝。解析器完全在你的瀏覽器中執行。

這裡展示了什麼——以及 .evtx 無法告訴你什麼

一個 .evtx 檔案把每條事件儲存為結構化的二進位 XML：一個 System 區塊（事件 ID、提供者、通道、等級、時間戳記、記錄 ID）和該事件的資料欄位（EventData 或 UserData）。這一結構正是本檢視器呈現的內容——可排序、可篩選、可匯出。檔案中沒有的是事件檢視器顯示的那段友善訊息文字（「有帳戶登入失敗…」）。Windows 在寫入記錄的那台機器上、從每個提供者的訊息 DLL 中算繪那段文字；資料中像 %%14592 這樣的值是那些 DLL 字串的預留位置。任何為一份外來 .evtx 顯示打磨好訊息文字的工具，都是在重建或猜測它——本工具向你展示欄位，那才是真正構成證據的部分；當你想按原樣檢視記錄的儲存形式時，還有原始 XML。配套指南在沒有 Windows 機器時讀取 EVTX 檔案，用真實事件 ID 演練了一套分診流程。

再說兩點誠實的說明。.evtx 內部的時間戳記是 UTC；事件檢視器顯示時會把它們轉換為你開啟記錄的那台機器的本地時間，這已經讓不止一條時間軸被搞混過——這裡的表格保持 UTC，並明確標註。另外，損壞或截斷的記錄不會被悄悄「清理」：無法解析的區塊會連同其位元組偏移列在表格上方，你確切知道檔案的哪一部分是你沒有看到的。區塊級損壞在從磁碟映像中雕刻出的記錄裡很常見，而損壞周圍的記錄仍能解析。對於相鄰的檔案鑑識工作，PCAP 分析器按同一規則讀取擷取檔——在本機解析，絕不上傳。

常見問題

我可以在 Mac 或 Linux 機器上開啟 .evtx 檔案嗎？

可以——這正是本頁的意義所在。事件檢視器只存在於 Windows 上，但 .evtx 是一種有文件記錄的二進位格式，而這裡的解析器（Rust evtx crate 的 WebAssembly 建置版）可以在任何作業系統上的任何現代瀏覽器中執行。把檔案從 Windows 機器或磁碟映像中複製出來，放到這裡，就能在你所在的地方讀取它。

為什麼我看不到像事件檢視器那樣的事件訊息文字？

因為它不在檔案裡。.evtx 儲存的是每條事件的結構化欄位；事件檢視器顯示的那句話，是 Windows 機器從提供者的訊息 DLL 中算繪出來的，而 DLL 並不隨記錄一同轉移。像 %%14592 這樣的值是對那些 DLL 字串的參照。本檢視器向你展示檔案實際包含的一切——System 區塊、每一個 EventData/UserData 欄位和原始 XML——而不是編造它無從知道的訊息文字。

在這裡開啟敏感記錄安全嗎？檔案會去哪裡？

哪裡也不去。檔案由你自己的瀏覽器分頁中的一個 Web Worker 讀取；沒有上傳端點，沒有帳戶，也不記錄檔案內容。你可以用與本站其他本機工具相同的方式驗證這一點：載入頁面，斷開網路，分析仍然可以工作。這一點很重要，因為事件記錄會寫明使用者、機器和 IP 位址——把它們當作證據對待，而不是貼到雲端轉換器或 AI 聊天裡的東西。

摘要列出了無法讀取的區塊。我的檔案壞了嗎？

部分損壞了，而這對從磁碟映像還原的、或複製中途中斷的記錄來說很正常。一個 .evtx 是一連串 64 KB 的區塊；損壞通常只會毀掉單個區塊，而不是整個檔案。檢視器會連同位元組偏移報告每個無法讀取的區塊，並解析它周圍的一切，這樣你確切知道缺了什麼，而不是拿到一份被悄悄縮短的記錄。全為零的區塊是預先配置的空間，不是損壞，會不加評論地略過——這正是 Windows 對待它的方式。

我能開啟多大的記錄？

最大 64 MB，以一個典型安全性記錄的密度計算，大約相當於 130,000 條記錄。解析以批次串流進行並顯示進度，所以即便這麼大的檔案也能保持回應；表格會對結果分頁，而不是一次算繪每一列。如果你需要拆分更大的記錄，把你在意的篩選子集匯出為 JSON 或 CSV，再基於它們工作。