2003系统中事件查看器
发布网友
发布时间：2022-04-19 17:53
共3个回答
热心网友
时间：2023-08-28 09:52
删除日志文件，并重新启动计算机后，系统将自动恢复日志文件，从而保证系统的正常运行。
使用事件查看器
利用“事件查看器”这个系统维护工具，用户可以通过使用事件日志，收集有关硬件、软件、系统问题方面的信息，并监视中文版Windows XP 安全事件，将Windows 和其他应用程序运行中错误事件记录下来，便于用户诊断和纠正可能发生的系统错误和问题。14.4.1 事件查看器 当用户需要查看工作日志时，可进行以下的操作步骤： （1）单击“开始”按钮，选择“控制面板”命令，在打开的“控制面板”窗口单击“管理工具”图标，然后在“管理工具”窗口中双击“事件查看器”图标，这时就可以打开“事件查看器”窗口。 （2）在“事件查看器”窗口中包括三种类型的日志记录事件： ·应用程序日志：记录应用程序或一般程序的事件。 ·安全性日志：可以记录例如有效和无效的登录尝试等安全事件，以及与资源使用有关的事件。例如创建、打开或删除文件以及有关设置的修改。 ·系统日志：包含由Windows XP 系统组件记录的事件，例如，在系统日志中记录启动期间要加载的驱动程序或其他系统组件的故障。 （3）事件查看器显示以下事件类型： ·信息：描述应用程序、驱动程序或服务成功操作的事件，例如成功地加载网络驱动程序时会记录一个信息事件。 ·警告：不是非常重要但将来可能出现的问题事件。例如，如果磁盘空间较小，则会记录一个警告。 ·错误：重要的问题，如数据丢失或功能丧失。例如，如果在启动期间服务加载失败，则会记录错误。 ·成功审核：审核安全访问尝试成功。例如，将用户成功登录到系统上的尝试作为“成功审核”事件记录下来。 ·失败审核：审核安全访问尝试失败。例如，如果用户试图访问网络驱动器失败，该尝试就会作为“失败审核”事件进行记录。 （4）如果要查看某事件的详细内容，可先选中该项，双击打开“事件属性”对话框，在其中的“事件详细信息”选项组中列出了事件发生的时间及来源、类型等详细资料，如图14.13 所示。14.4.2 事件查看器在网络中的应用 由于中文版Windows XP 可以用于小型办公网络和家庭网络的组建，在网络应用过程中，网络中的计算机有时会出现故障，这时需要管理员查看这台机器的工作日志，以此来判断出现故障的原因。具体的操作步骤如下：（1）在“事件查看器（本地）”窗口中，右击“事件查看器（本地）”选项，会弹出一个快捷菜单，从中选择“连接到另一台计算机”命令，出现“选择计算机”对话框，在此用户可以选择需要这个管理单元管理的计算机，在“另一台计算机”文本框中输入要查看的工作站名，单击“确定”即可，如图14.14 所示。（2）为了在众多的计算机中准确地找到出现故障的一台，最大限度地节省时间，可以单击“浏览”按钮，出现如图14.15 所示的“选择计算机”对话框，可以在这里进行更为详细的条件限定，这样，就可以快速地找到出现故障的计算机，进行工作日志的查看。14.4.3 事件查看器窗口在“事件查看器”窗口中，用户可以利用菜单栏中的菜单项方便地进行本地事件的查看，下面是其中简单而且实用的几项操作（以“应用程序”）为例：（1）在“操作”菜单中，用户可以根据需要进行工作日志文件的打开和保存，以及事件的清除等操作。（2）选择“操作”|“属性”或者“查看”|“筛选”命令，出现“应用程序属性”对话框，在“常规”选项卡中详细显示了“应用程序”的名称，创建、修改、访问时间，用户可以对最大日志以及达到极限后的处理方法进行设定，如果用户不再需要个性设置时，可以单击“还原为默认值”按钮，即可恢复到系统默认的设置，如图14.16 所示。（3）选择“筛选器”选项卡，用户可以对日志中的事件进行筛选，用户可在“事件类型”选项组中进行复选框的选择，在“事件来源”“类别”下拉列表框中可设置筛选具体条件，还可进行时间限定。需要指出的是，筛选并不会对日志的具体内容产生影响，它只是改变了事件的显示方式，如图14.17 所示。（4）在“查看”菜单中选择“添加|删除列”命令，弹出“添加|删除列”对话框，如果用户不需要在该窗口的详细列表中显示某选项时，可在“显示列”列表中先选中，然后单击“删除”按钮，即可删除该列的显示，这样会使画面看起来更简洁，如图14.18 所示。（5）在“查看”菜单中选择“查找”命令，出现“在本地应用程序上查找”对话框，在此可设置好要查找的条件，可自行选择搜索方向，连续查找多个符合要求的事件，如图14.19 所示。
用事件查看器解决操作系统故障
作者：Microsoft MVP 闫诺 更新时间：2005-04-08
无论是普通计算机用户，还是专业计算机系统管理员，在操作计算机的时候都会遇到某些系统错误。很多朋友经常为无法找到出错原因，解决不了故障问题感到困扰。事实上，利用Windows内置的事件查看器，加上适当的网络资源，就可以很好地解决大部分的系统问题。
一、事件查看器可以做什么
微软在以Windows NT为内核的操作系统中集成有事件查看器，这些操作系统包括Windows 2000\NT\XP\2003等。事件查看器可以完成许多工作，比如审核系统事件和存放系统、安全及应用程序日志等。
系统日志中存放了Windows操作系统产生的信息、警告或错误。通过查看这些信息、警告或错误，我们不但可以了解到某项功能配置或运行成功的信息，还可了解到系统的某些功能运行失败，或变得不稳定的原因。
安全日志中存放了审核事件是否成功的信息。通过查看这些信息，我们可以了解到这些安全审核结果为成功还是失败。
应用程序日志中存放应用程序产生的信息、警告或错误。通过查看这些信息、警告或错误，我们可以了解到哪些应用程序成功运行，产生了哪些错误或者潜在错误。程序开发人员可以利用这些资源来改善应用程序。
点击“开始→运行”，输入eventvwr，点击“确定”，就可以打开事件查看器，它的界面如图1所示。
图 1
查看事件的详细信息：
选中事件查看器左边的树形结构图中的日志类型（应用程序、安全性或系统），在右侧的详细资料窗格中将会显示出系统中该类的全部日志，双击其中一 个日志，便可查看其详细信息，如图2。在日志属性窗口中我们可以看到事件发生的日期、事件的发生源、种类和ID，以及事件的详细描述。这对我们寻找解决错 误是最重要的。
图 2
搜索事件：
如果系统中的事件过多，我们将会很难找到真正导致系统问题的事件。这时，我们可以使用事件“筛选”功能找到我们想找的日志。
选中左边的树形结构图中的日志类型（应用程序、安全性或系统），右击“查看”，并选择“筛选”。日志筛选器将会启动，如图3。
图 3
选择所要查找的事件类型，比如“错误”，以及相关的事件来源和类别等等，并单击“确定”。事件查看器会执行查找，并只显示符合这些条件的事件。
二、利用查看器解决系统问题
查到导致系统问题的事件后，我们需要找到解决它们的办法。查找解决这些问题的方法主要可以通过两个途径：微软在线技术支持知识库以及Eventid.net网站。
微软在线技术支持知识库（KB）：
微软知识库的文章是由微软公司官方资料和MVP（微软最有价值专家）撰写的技术文章组成，主要解决微软产品的问题及故障。
当微软每一个产品的Bug和容易出错的应用点被发现以后，都将有与其对应的KB文章分析这项错误的解决方案。
微软知识库的地址是：http://support.microsoft.com，在网页左边的“搜索（知识库）”中输入相关的关键字进行查 询，事件发生源和ID等信息。当然，输入详细描述中的关键词也是一个好办法，如果日志中有错误编号，输入这个错误编号进行查询也并不是一个坏主意。 Eventid.net网站：
要查询系统错误事件的解决方案，还有一个更好的地方：Eventid.net网站，地址是www.eventid.net。这个网站由众多微软MVP（最有价值专家）主持，几乎包含了全部系统事件的解决方案。
登录网站后，单击“Search Events（搜索事件）”链接，出现事件搜索页面。根据页面提示，输入Event ID（事件ID）和Event Source（事件源），并单击“Search”按钮。Eventid.net的系统会找到所有相关的资源及解决方案。最重要的是，享受这些解决方案是完 全免费的。当然，Eventid.net的付费用户则能享受到更好的服务，比如直接访问针对某事件的知识库文章集等。
其他资源：
事实上，在网络中我们还可以找到许多有用的资源，当系统出现问题时可以参考使用。比如http://www.diyinside.com 网站的“微软新闻组常见问题”栏目，就提供了许多有用的疑难解答小贴士。
另外，微软中文社区（http://www.microsoft.com/china/community）提供在线的免费技术支持和定期的专家聊天，只要稍加利用，都可以成为解决系统疑难杂症的宝贵资源。
总体来说，在Windows操作系统中提供的事件日志机制为我们找出系统问题提供了快捷的方法，而官方和第三方等多种网络资源使我们能够迅速地解决这些问题。通过本文，希望读者能够充分利用这些资源，在以后系统出现问题时，能够自主地将它们解决。节省时间，节省金钱。
在Windows2000、Windows XP操作系统中有一位系统运行状况的忠实记录者，从开机、运行到关机过程中发生的每一个事件都将被记录下来，它就是“事件查看器”。用户可以利用这个系统维护工具，收集有关硬件、软件、系统问题方面的信息，并监视系统安全事件，将系统和其他应用程序运行中错误或警告事件记录下来，便于诊断和纠正系统发生的错误和问题。下面通过几个例子来讲解“事件查看器”的实际应用。
使用事件查看器
有两种方法可以很快地打开事件查看器:
1.通过“我的电脑”打开。右键单击“我的电脑”，选择“管理”，弹出“计算机管理”窗口，在“系统工具”标签下便是“事件查看器”。
2.通过“控制面板”打开。选择“开始/控制面板”，在“控制面板”窗口单击“管理工具”，在弹出窗口中双击“事件查看器”图标，便可打开“事件查看器”窗口。
如图1所示便是事件查看器的系统日志信息。
监视文件和文件夹的访问
在办公环境下，有时我们需了解计算机上其他用户是否访问了我们*的文件或文件夹，这时候我们通过组策略配合，利用事件查看器在不影响用户正常使用的情况下，监控用户的访问情况。选择“开始/控制面板/管理工具/本地安全设置/本地策略/审核策略”，在右边信息窗口中右键单击“审核对象访问”选择“安全性”，在“本地安全策略设置”中，单击所需的选项并确定。接着在任务栏“开始”上点右键选择“资源管理器”，右键点击要审核的文件或文件夹，选择“属性”。然后选择“安全/高级/审核/添加”，在“选择用户、计算机或组”对话框中，单击要审核操作的用户名或组名并确定即可。
注意:必须作为管理员或管理组的成员登录才能设置文件和文件夹的审核，只有管理员才能使用“组策略”
监视系统开关机情况
当我们外出回来，有时我们需要了解计算机的开关情况以及是否正常开关机情况。我们可以通过事件查看器的系统日志查看计算机的开、关机记录，这是因为日志服务会随计算机一起启动或关闭，并在日志中留下记录。主要是两个事件ID“6006和6005”。6005表示事件日志服务已启动，如果在事件查看器中发现某日的事件ID号为6005的事件，就说明在这天正常启动了Windows系统。6006表示事件日志服务已停止(图2)，如果没有在事件查看器中发现某日的事件ID号为6006的事件，就表示计算机在这天没有正常关机，可能是因为系统原因或者直接切断电源导致没有执行正常的关机操作。
如果你是网络管理员，那么这些记录就更加的重要了，如果有意外的开关机操作，那么你的机器已被攻击的可能性就很大了。
解决机器开机时的错误提示窗口
如果你最近安装或卸载了某些程序，或者是由于安全的原因关闭了某些服务，结果你发现每次开机都会弹出一个错误提示窗口，并提示“在系统启动时至少有一个服务或驱动程序产生错误。详细信息，请使用事件查看器查看事件日志”。这类问题一般是系统在加载相关服务时找不到服务程序而无法启动产生的，你可以使用事件查看器来查看具体是哪个服务启动时出现了问题，解决的办法通常有两种，一种是通过了解该服务是那哪些程序产生，不论这些服务是操作系统本身产生还是应用程序产生的，都可以通过卸载相关应用程序来解决。另一个办法更简单直接到服务管理器中将相应的服务设置为“禁用”即可。
分析死机故障原因
相对于Windows 98而言，Windows 2000和Windows XP均要稳定的多，是不容易发生死机现象的。从理论上讲，纯32位的Windows 2000 是不会出现死机的，但是这仅仅是理论上的。病毒、硬件和硬件驱动程序不匹配等原因将造成Windows 2000的崩溃。当Windows 2000出现死机时，显示器屏幕将变为蓝色，然后出现死机故障提示信息。通过事件查看能够发现问题的原因。如果出现的硬件设备故障，可以通过重新安装硬件驱动或卸载硬件来解决，如果是软件故障可以卸相应的驱动程序，如果是警告显示磁盘驱动程序在几次重试后，只能读取或写入到某个扇区，十有*是硬盘出问题了。
即使你的系统没有死机，运行某些程序出现停顿现象，也有可能是计算机的硬盘出现故障，你依然可通过检查事件查看器,看是否出现硬盘有无法响应的日志，如果硬盘出现损坏，还是尽早更新，以免带来重大的数据损失。
检查不能上网的原因
不能上网的原因有非常多，其中无法获得局域网DHCP服务器的数据，以至无法取得一个能上网的IP地址是局域网用户不能上网的故障中最常见的一种，通过“事件查看器”我们可以很容易就找到这个错误事件ID号为1007，此你可以先检查你的网线，看是否连接正常，如果网络线路正常。可以打电话咨询网络管理员是否是DHCP服务器停止工作了。
如果你使用的IP地址与网络上别人使用的IP地址相同，网络接口也会被系统禁用，一样也无法上网，这个错误事件ID号为1006，如果你发现这种情况要及时和网络管理员联系解决。
疑难问题解决方案
上面介绍的是几种常见事件管理器中发现的问题的解决办法，但在实际中可能发生的问题是多种多样的，对于其他的疑难问题的方法还可以通过两个主要途径“微软在线技术支持知识库”和“Eventid.net网站”来解决。
1.微软知识库
微软知识库的文章是由微软公司官方资料和微软MVP撰写的技术文章组成，主要解决微软产品的问题及故障。当微软每一个产品的Bug和容易出错的应用点被发现后，都将有与其对应的KB文章分析这项错误的解决方案。微软知识库的地址是:http://support.microsoft.com，在网页左边的“搜索(知识库)”中输入相关的关键字进行查询，事件发生源和ID等信息。当然，输入详细描述中的关键词也是一个好办法，如果日志中有错误编号，输入这个错误编号进行查询也是个不错的主意。
2.Eventid.net
要查询系统错误事件的解决方案，其实还有一个更好的地方，那就是Eventid.net网站(图3)，地址是:http://www.eventid.net。这个网站由众多微软MVP(最有价值专家)主持，几乎包含了全部系统事件的解决方案。登录网站后，单击“Search Events(搜索事件)”链接，出现事件搜索页面。根据页面提示，输入Event ID(事件ID)和Event Source(事件源)，并单击“Search”按钮。Eventid.net的系统会找到所有相关的资源及解决方案。最重要的是，享受这些解决方案是完全免费的。当然，Eventid.net的付费用户则能享受到更好的服务，比如直接访问针对某事件的知识库文章集等。
用事件查看器诊断Windows故障
【2005-09-09 10:25】【】【电脑迷】
在Windows2000、Windows XP操作系统中有一位系统运行状况的忠实记录者，从开机、运行到关机过程中发生的每一个事件都将被记录下来，它就是“事件查看器”。用户可以利用这个系统维护工具，收集有关硬件、软件、系统问题方面的信息，并监视系统安全事件，将系统和其他应用程序运行中错误或警告事件记录下来，便于诊断和纠正系统发生的错误和问题。下面通过几个例子来讲解“事件查看器”的实际应用。
使用事件查看器
有两种方法可以很快地打开事件查看器:
1.通过“我的电脑”打开。右键单?/ca>
热心网友
时间：2023-08-28 09:52
除了“Users”和“Builtin”容器中的组之外，运行 Windows Server 2003 的服务器还包括几种特殊标识。为方便起见，这些标识通常称为组。这些特殊组没有您可修改的特别成员身份，但是它们能根据环境在不同时间代表不同用户。这些特殊组为：
Anonymous Logon
代表不使用帐户名、密码或域名而通过网络访问计算机及其资源的用户和服务。在运行 Windows NT 及其以前版本的计算机上，Anonymous Logon 组是 Everyone 组的默认成员。在运行 Windows Server 2003 家族的成员的计算机上，默认情况下 Anonymous Logon 组不是 Everyone 组的成员。
Everyone
代表所有当前网络的用户，包括来自其他域的来宾和用户。无论用户何时登录到网络上，它们都将被自动添加到 Everyone 组。
网络
代表当前通过网络访问给定资源的用户（不是通过从本地登录到资源所在的计算机来访问资源的用户）。无论用户何时通过网络访问给定的资源，它们都将自动添加到 Network 组。
Interactive
代表当前登录到特定计算机上并且访问该计算机上给定资源的所有用户（不是通过网络访问资源的用户）。无论用户何时访问当前登录的计算机上的给定资源，它们都被自动添加到 Interactive 组。
虽然可以给特殊标识指派对资源的权利和权限，但不能修改或查看其成员身份。组作用域不适用于特殊标识。无论用户何时登录或访问特殊资源，都被自动指派这些特殊标识。
而一般的guest用户或administrator则是有明显标志记录的访问。
热心网友
时间：2023-08-28 09:53
参考资料：me
