0

我需要使用“wevtutil”工具获取 id 为 6005 或 6006 的事件列表。此命令工作正常：

wevtutil qe system /rd:true /q:*[System[EventID=6005]]

但我需要同时获取 ID 为 6005 和 6006 的两个事件。我试过了

wevtutil qe system /rd:true /q:*[System[EventID=6005 or EventID=6006]]

但它返回

指定的参数过多。参数不正确。

我应该如何解决它？

注意：每个事件都有以下 XML 结构

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System><Provider Name='EventLog'/><EventID Qualifiers='32768'>6005</EventID><Level>4</Level><Task>0</Task><Keywords>0x80000000000000</Keywords><TimeCreated SystemTime='2018-01-24T18:24:41.592259500Z'/><EventRecordID>350</EventRecordID><Channel>System</Channel><Computer>LAPTOP-IN03NS68</Computer><Security/></System><EventData><Binary>E20701000300180012001800290050020000000000000000</Binary></EventData></Event>
4

2 回答 2

1

"/q:*[系统[(EventID=6005) 或 (EventID=6006)]]"

于 2018-03-28T13:34:18.603 回答
0

eryksun 已经在命令中回答了。必须使用双引号

于 2018-03-07T20:23:33.540 回答