Recherche structure du fichier observateur d’événement Windows 7Résolu

Question

Bonjour, 
En visual basic 6
J'utilise un programme qui récupère des informations du fichier "appevent.evt" (Journal d’événement de Windows) sous Win XP.
                             
 '* Constitution d'un Event Record
Private Type EVENTLOGRECORD
     Length As Long  ' longueur totale de l'enregistrement -   Length of full record
     Reserved As Long  ' le fameux : 'LfLe' ( décimal : 1 699 505 740 ; hexa : 4C 66 4C 65 )   -  Used by the service
     RecordNumber As Long  '  n° de l'enregistrement - Absolute record number
     TimeGenerated As Long  '  Seconds since 1-1-1970 - en heure System !
     TimeWritten As Long  ' Seconds since 1-1-1970  - en heure System ! NB : en général, quasiment toujours identique d°
     EventId As Long   ' n° d'identification de l'événement
     EventType As Integer ' 01 = erreur ; 02 = avertissement - 04 = information ; 08 = vérification réussie ; 16 = échec de vérification
     NumStrings As Integer  ' ????
     EventCategory As Integer  ' Catégorie
     ReservedFlags As Integer  '  ????      -     For use with paired events (auditing)
     ClosingRecordNumber As Long ' ????     -   For use with paired events (auditing)
     StringOffset As Long  ' Offset du début du message   -  Offset from beginning of record
     UserSidLength As Long
     UserSidOffset As Long
     DataLength As Long  '  Longueur des Datas
     DataOffset As Long  ' Offset du début des Datas -  Offset from beginning of record
End Type
Private zEvLogRec As EVENTLOGRECORD
Private zEvLogRecMem As EVENTLOGRECORD


Mon programme ne fonctionne plus pour Windows 7 car la structure du fichier ".evt" à changé.
Je recherche donc l'équivalent du code ci-dessus mais pour Win 7.

Je pense avoir été clair.
Merci d'avance si quelqu'un à une réponse à ce mail.

Cordialement,

vb95 · Answer

Bonsoir 
tu as toutes les informations ici : https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-even/541de33d-cee4-4c16-976c-e1e2ea152e65

patou41000 · Answer

Bonsoir vb95
Merci pour ce lien mais la structure "EVENTLOGRECORD" est celle que j'utilise dans mon prog pour lire les éventements pour Windows XP.
Pour les fichiers événements de Windows 7 la structure du fichier est différent et donc "EVENTLOGRECORD" ne fonctionne plus.
Je recherche donc l'équivalent du lien que tu as fourni mais pour les fichiers sous Win 7.
Cordialement, 
 
--

vb95 · Answer

Bonsoir
Les infos dans mon lien sont du 14/02/2019 
Dans ta structure tu as les 16 premiers champs .( Length à DataOffset )
Que fais-tu des champs 17 à 24 ( SourceName, ComputerName, UserSidPadding, Usersid, Strings, Data, Padding  et Length2 )
Les champs 17 à 23 sont de taille variable alors que le champ 24 (Length2) est un Long sur 4 octets .
Si tu ne les prends pas en compte et que tu ne calcules pas la taille en octets qu'ils occupent dans l'enregistrement cela cause des dysfonctionnements .
De plus certains champs variables sont dans certains cas omis si leur valeur est nulle .
Sous XP tu étais en NTFS ?
Et sous Windows7 tu es aussi en NTFS ?

Autre chose : peut-être faut-il que ton projet ait les droits Administrateur ! Car là tu touches à des fonctions avancées de Windows avec les enregistrements d'évènements qui sont dans NTFS normalement !
.

patou41000 · Answer

Bonjour vb95 et encore merci pour ces informations vraiment passionnante. Je vais creuser sur les champs 17 à 24.
Se pendant, un truc me bloque maintenant.
Dans mon programme pour lire le fichier des événement sous Win XP, mon point de départ été le champ n°2 ou je recherchais le eLfL qui me donnée le départ de chaque nouvelle événement du fichier et en reculent de 4 octets j'avais la taille de la structure.
"Reserved (4 octets): DOIT être réglé sur 0x654c664C (qui est ASCII pour eLfL). Cela sert de signature pour la structure."
Dans les fichiers event sous Win 7, je ne vois plus de eLfL donc je ne sais plus ou commence chaque événement du fichier.
Aurais-tu une idée sur le départ de chaque événements ? 
 
Encore Merci pour ce lien, je vais creuser.
Cordialement

vb95 · Answer

Bonsoir !
Aucune idée sur le départ de chaque événement .
De plus moi je suis sous Windows 10 et je ne retrouve nullement le fichier "appevent.evt" .
NTFS a évolué depuis le début avec Windows XP .
Ce fichier existe-t-il vraiment sous Windows 7 et supérieur ? 
Je ne peux guère t'aider plus .

patou41000 · Answer

Bonjour,
Je pense partir sur un nouveau champs de départ que l’occurrence eLfL.
Je vais creuser.
Merci, je passe en résolu ce sujet.
--

Recherche structure du fichier observateur d’événement Windows 7

6 réponses

Votre réponse

Discussions similaires