Recherche structure du fichier observateur d’événement Windows 7 [Résolu]

Messages postés
6
Date d'inscription
samedi 8 avril 2006
Statut
Membre
Dernière intervention
3 novembre 2019
-
Bonjour,
En visual basic 6
J'utilise un programme qui récupère des informations du fichier "appevent.evt" (Journal d’événement de Windows) sous Win XP.
                             
 '* Constitution d'un Event Record
Private Type EVENTLOGRECORD
     Length As Long  ' longueur totale de l'enregistrement -   Length of full record
     Reserved As Long  ' le fameux : 'LfLe' ( décimal : 1 699 505 740 ; hexa : 4C 66 4C 65 )   -  Used by the service
     RecordNumber As Long  '  n° de l'enregistrement - Absolute record number
     TimeGenerated As Long  '  Seconds since 1-1-1970 - en heure System !
     TimeWritten As Long  ' Seconds since 1-1-1970  - en heure System ! NB : en général, quasiment toujours identique d°
     EventId As Long   ' n° d'identification de l'événement
     EventType As Integer ' 01 = erreur ; 02 = avertissement - 04 = information ; 08 = vérification réussie ; 16 = échec de vérification
     NumStrings As Integer  ' ????
     EventCategory As Integer  ' Catégorie
     ReservedFlags As Integer  '  ????      -     For use with paired events (auditing)
     ClosingRecordNumber As Long ' ????     -   For use with paired events (auditing)
     StringOffset As Long  ' Offset du début du message   -  Offset from beginning of record
     UserSidLength As Long
     UserSidOffset As Long
     DataLength As Long  '  Longueur des Datas
     DataOffset As Long  ' Offset du début des Datas -  Offset from beginning of record
End Type
Private zEvLogRec As EVENTLOGRECORD
Private zEvLogRecMem As EVENTLOGRECORD


Mon programme ne fonctionne plus pour Windows 7 car la structure du fichier ".evt" à changé.
Je recherche donc l'équivalent du code ci-dessus mais pour Win 7.

Je pense avoir été clair.
Merci d'avance si quelqu'un à une réponse à ce mail.

Cordialement,
Afficher la suite 

6 réponses

Meilleure réponse
Messages postés
1957
Date d'inscription
samedi 11 janvier 2014
Statut
Contributeur
Dernière intervention
2 novembre 2019
71
1
Merci
Bonsoir
tu as toutes les informations ici : https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-even/541de33d-cee4-4c16-976c-e1e2ea152e65

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CodeS-SourceS

Codes Sources 196 internautes nous ont dit merci ce mois-ci

Commenter la réponse de vb95
Messages postés
1957
Date d'inscription
samedi 11 janvier 2014
Statut
Contributeur
Dernière intervention
2 novembre 2019
71
1
Merci
Bonsoir
Les infos dans mon lien sont du 14/02/2019
Dans ta structure tu as les 16 premiers champs .( Length à DataOffset )
Que fais-tu des champs 17 à 24 ( SourceName, ComputerName, UserSidPadding, Usersid, Strings, Data, Padding et Length2 )
Les champs 17 à 23 sont de taille variable alors que le champ 24 (Length2) est un Long sur 4 octets .
Si tu ne les prends pas en compte et que tu ne calcules pas la taille en octets qu'ils occupent dans l'enregistrement cela cause des dysfonctionnements .
De plus certains champs variables sont dans certains cas omis si leur valeur est nulle .
Sous XP tu étais en NTFS ?
Et sous Windows7 tu es aussi en NTFS ?

Autre chose : peut-être faut-il que ton projet ait les droits Administrateur ! Car là tu touches à des fonctions avancées de Windows avec les enregistrements d'évènements qui sont dans NTFS normalement !
.

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CodeS-SourceS

Codes Sources 196 internautes nous ont dit merci ce mois-ci

Commenter la réponse de vb95
Messages postés
1957
Date d'inscription
samedi 11 janvier 2014
Statut
Contributeur
Dernière intervention
2 novembre 2019
71
1
Merci
Bonsoir !
Aucune idée sur le départ de chaque événement .
De plus moi je suis sous Windows 10 et je ne retrouve nullement le fichier "appevent.evt" .
NTFS a évolué depuis le début avec Windows XP .
Ce fichier existe-t-il vraiment sous Windows 7 et supérieur ?
Je ne peux guère t'aider plus .

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CodeS-SourceS

Codes Sources 196 internautes nous ont dit merci ce mois-ci

Commenter la réponse de vb95
Messages postés
6
Date d'inscription
samedi 8 avril 2006
Statut
Membre
Dernière intervention
3 novembre 2019
0
Merci
Bonsoir vb95
Merci pour ce lien mais la structure "EVENTLOGRECORD" est celle que j'utilise dans mon prog pour lire les éventements pour Windows XP.
Pour les fichiers événements de Windows 7 la structure du fichier est différent et donc "EVENTLOGRECORD" ne fonctionne plus.
Je recherche donc l'équivalent du lien que tu as fourni mais pour les fichiers sous Win 7.
Cordialement,

--
Commenter la réponse de patou41000
Messages postés
6
Date d'inscription
samedi 8 avril 2006
Statut
Membre
Dernière intervention
3 novembre 2019
0
Merci
Bonjour vb95 et encore merci pour ces informations vraiment passionnante. Je vais creuser sur les champs 17 à 24.
Se pendant, un truc me bloque maintenant.
Dans mon programme pour lire le fichier des événement sous Win XP, mon point de départ été le champ n°2 ou je recherchais le eLfL qui me donnée le départ de chaque nouvelle événement du fichier et en reculent de 4 octets j'avais la taille de la structure.
"Reserved (4 octets): DOIT être réglé sur 0x654c664C (qui est ASCII pour eLfL). Cela sert de signature pour la structure."
Dans les fichiers event sous Win 7, je ne vois plus de eLfL donc je ne sais plus ou commence chaque événement du fichier.
Aurais-tu une idée sur le départ de chaque événements ?

Encore Merci pour ce lien, je vais creuser.
Cordialement
Commenter la réponse de patou41000
Messages postés
6
Date d'inscription
samedi 8 avril 2006
Statut
Membre
Dernière intervention
3 novembre 2019
0
Merci
Bonjour,
Je pense partir sur un nouveau champs de départ que l’occurrence eLfL.
Je vais creuser.
Merci, je passe en résolu ce sujet.
--
Commenter la réponse de patou41000