![使用 powershell 检索事件转发状态和配置](https://linux22.com/image/757117/%E4%BD%BF%E7%94%A8%20powershell%20%E6%A3%80%E7%B4%A2%E4%BA%8B%E4%BB%B6%E8%BD%AC%E5%8F%91%E7%8A%B6%E6%80%81%E5%92%8C%E9%85%8D%E7%BD%AE.png)
我需要知道当前Windows客户端是否启用了Windows事件转发,以及它转发到哪里。
我可以用 powershell 来做这个吗?我在 Google 上找不到任何相关内容,有人知道吗?
答案1
简单的方法是运行命令行wecutil es
并在 powershell 中解析输出
这里有人为命令行实用程序编写了一个包装器,以便于在脚本中使用 https://www.powershellgallery.com/packages/PSWecutil/0.0.0.3
我找不到可以列出已注册的事件日志订阅的 WMI 查询,或者这可能是没有大量代码的最佳方法
您还可以将 Win32 API 中的 C++ 函数导入 PowerShell,并直接调用 API 来检索此信息,但这需要您编写多个复杂的函数