Windows/イベントログのバックアップ(No.6)

コマンド：eventvwr

表示内容 †

Windows イベントビューアの情報について

↑

PowerShell †

STEP-BY-STEP: HOW TO TRIGGER AN EMAIL ALERT FROM A WINDOWS EVENT THAT INCLUDES THE EVENT DETAILS USING WINDOWS SERVER 2016

ローカルマシン上のイベントを含むすべてのログを一覧表示（PowerShellを管理者モードで実行）
```
Get-WinEvent -listlog * | where {$_.Recordcount}
```

↑

確認 †

↑

起動・終了 †

Windowsの起動と終了の履歴を確認する方法

イベントビューアーから「Windows ログ」→「システム」を開く
右ペインの「現在のログをフィルター」をクリック

イベントIDでフィルタをかける（6005,6006,6008,12,13）

6005	EventLog	起動時
6006	EventLog	正常にシャットダウン
6008	EventLog	正常にシャットダウンせずに終了
6009	EventLog	起動時にブート情報を記録
42	Kernel-Power	スリープ状態になったとき
1	Power-Troubleshooter	スリープ状態から復帰したとき
12	Kernel-General	OS起動時
13	Kernel-General	OSシャットダウン時

↑

イベントID †

↑

CLR20r3 †

.NETプログラム例外落ちイベント(CLR20r3)を読み取る
- P1: exeファイル名の名前(32文字制限付き)
- P2: exeファイルのアセンブリバージョン
- P3: exeファイルのタイムスタンプ(16進数)… new DateTime?(1970, 1, 1).AddSeconds?(P3).ToLocalTime?()
- P4: 欠陥アセンブリの名前(64文字制限付き)
- P5: 欠陥アセンブリのバージョン
- P6: 欠陥アセンブリのタイムスタンプ(16進数)… new DateTime?(1970, 1, 1).AddSeconds?(P6).ToLocalTime?()
- P7: 欠陥アセンブリの型とメソッド(16進数)。MethodDef?
- P8: 欠陥メソッドのIL命令(16進数)。オフセット
- P9: スローされた例外の種類(32文字制限付き)
  - P9の文字列は長い場合、末尾のExceptionを省略してみたり、160ビット位(32進数×32桁)のハッシュ値にされたりしてしまいます。

CLR20r3と格闘
- .NET 3.5のアプリを.NET 2.0と.NET 4.0環境で動かすと落ちる
- .NET Frameworkのバージョンを整理する

CLR20r3の追跡は素直に対象アプリをildasmで逆アセンブラすればいいわけじゃなかった

↑

Windows/イベントログ のバックアップ(No.6)

表示内容 †

PowerShell †

確認 †

起動・終了 †

イベントID †

41：予期せぬ電源断が行われた †

142：ウォッチドッグの監視によりリセット †

1001：Windows Error Reporting †

CLR20r3 †

10016：DistributedCOMエラー †

Windows/イベントログのバックアップ(No.6)