事件查看器（系统日志）

Question

客户端操作系统 - Windows XP

域控制器：- Windows Server 2008 Standard R2

我有一个 Windows XP 系统。我想找出系统何时启动或引导（在什么时间和日期）。我不知道应该在事件日志中搜索哪个参数/单词。

为了找出关机时间，我只需在事件日志中找到“关机”一词。

您能指导我应该搜索哪个词来确定启动或引导时间吗？

Answer 1

事件查看器（系统日志）

6009 与 6005 相同的时间戳，系统刚刚启动。

6013-系统已运行一天或更长时间，时间以秒为单位。

6006-系统已重新启动或关闭。

PowerShell：获取上个月的所有重启消息

Get-EventLog -LogName System -After $(Get-Date).AddMonths(-1) | Where { 6009,6005,6006 -contains $_.EventID}

Answer 2

查找表明事件日志已启动的消息。

事件 6005 事件日志服务已启动

或者事件 6009，其中包含有关操作系统构建、服务级别等的信息。