[VKoonts]

Всем привет!
Давно ищу, компоненту для чтения журнала событий windows, может кто натыкался на подобную, или знает как прочесть содержимое журналов?
Нужно не записывать, а именно читать и копировать содержимое журнала средствами Delphi.

[VKoonts]

В винде есть такая замечательная вещь как "wevtutil" - это оператор для командной строки. Дак вот, можно написать батник примено такой:

Код:

1	wevtutil qe system /rd:true /f:text> G:\System_Log.txt

И на выходе будет txt файл с красиво оформленными событиями, а затем уже в делфе можно все это перебрать.

Но все же хотелось бы более изящный способ.

[lmikle]

А что, без компонента никак?
Там, вроде, набор функций простой. Читать отсюда: https://msdn.microsoft.com/en-us/lib...(v=vs.85).aspx

[Страдалецъ]

Посмотрел примерчик по ссылке и вот задался вопросом, почему сравнение в примере оформлено вот так?

Код:

1	if (NULL == pBuffer)

я понимаю, что компилятору без разницы, но почему все-же задом наперед?

[lmikle]

Сообщение от Страдалецъ

Посмотрел примерчик по ссылке и вот задался вопросом, почему сравнение в примере оформлено вот так?

Код:

я понимаю, что компилятору без разницы, но почему все-же задом наперед?

Это известная парадигма. Дело в том, что C/C++, как и некоторые другие ЯВУ, позволяют делать операции присваивания внутри условных операторов. Т.е. при банальной очепятке у тебя может получиться вот такой код:

Код:

1	if (pBuffer = NULL) ...

Этот код прекрасно компилируется, но вот логика его будет неправильная. А если ты опечатаешься когда NULL идет первым в условии, то получишь ошибку компиляции...

[Страдалецъ]

О как, даже не подумал о такой возможности.

[VKoonts]

Ребят, не сочтите за труд, пример с использованием ReadEventLog в дельфинском синтаксисе. С какого боку с этой функции подойти?
какие параметры у нее и что возвращает?

Спасибо за ответы.

[Romix]

http://www.delphisources.ru/forum/sh...ad.php?t=26956

Вот. Когда то мне помогли.

[VKoonts]

Сообщение от Romix

http://www.delphisources.ru/forum/sh...ad.php?t=26956

Вот. Когда то мне помогли.

Спасибо, примеры интересные.
Но в этом примере я не пойму, что вообще программа делает:

Код:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53

{$APPTYPE CONSOLE}    uses   SysUtils,   ActiveX,   ComObj,   Variants;       procedure  GetLogEvents; const   wbemFlagForwardOnly = $00000020; var   FSWbemLocator : OLEVariant;   FWMIService   : OLEVariant;   FWbemObjectSet: OLEVariant;   FWbemObject   : OLEVariant;   oEnum         : IEnumvariant;   iValue        : LongWord; begin;   FSWbemLocator := CreateOleObject('WbemScripting.SWbemLocator');   FWMIService   := FSWbemLocator.ConnectServer('localhost', 'root\CIMV2', '', '');   FWbemObjectSet:= FWMIService.ExecQuery('SELECT Category,ComputerName,EventCode,Message,RecordNumber FROM Win32_NTLogEvent '+                                          'Where Logfile="System" and EventCode=1','WQL',wbemFlagForwardOnly);   oEnum         := IUnknown(FWbemObjectSet._NewEnum) as IEnumVariant;   while oEnum.Next(1, FWbemObject, iValue) = 0 do   begin     Writeln(Format('Category          %s',[String(FWbemObject.Category)]));     Writeln(Format('Computer Name     %s',[String(FWbemObject.ComputerName)]));     Writeln(Format('EventCode         %d',[Integer(FWbemObject.EventCode)]));     Writeln(Format('Message           %s',[String(FWbemObject.Message)]));     Writeln(Format('RecordNumber      %d',[Integer(FWbemObject.RecordNumber)]));     FWbemObject:=Unassigned;   end; end;    begin  try     CoInitialize(nil);     try       GetLogEvents;     finally       CoUninitialize;     end;  except     on E:EOleException do         Writeln(Format('EOleException %s %x', [E.Message,E.ErrorCode]));     on E:Exception do         Writeln(E.Classname, ':', E.Message);  end;  Writeln('Press Enter to exit');  Readln; end.

Вроде выводит новые события (хотя не уверен).
а тут ругается уже на PEVENTLOGRECORD. :

Код:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

var   hEventLog: THandle;   NumberOfRecords: DWORD;   Buffer: PEVENTLOGRECORD;   BytesRead, MinNumberOfBytesNeeded: DWORD; begin   Memo1.Lines.BeginUpdate;   try     hEventLog:=OpenEventLog(nil, 'SYSTEM');     if hEventLog=0 then RaiseLastOSError;     if GetNumberOfEventLogRecords(hEventLog, NumberOfRecords) then Memo1.Lines.Add('NumberOfRecords = '+IntToStr(NumberOfRecords));     Buffer:=GetMemory($10000);     while True do     begin       if not ReadEventLog(hEventLog, EVENTLOG_SEQUENTIAL_READ or EVENTLOG_BACKWARDS_READ, 0, Buffer, 0, BytesRead, MinNumberOfBytesNeeded) then       begin         if GetLastError<>ERROR_INSUFFICIENT_BUFFER then Break;         if not ReadEventLog(hEventLog, EVENTLOG_SEQUENTIAL_READ or EVENTLOG_BACKWARDS_READ, 0, Buffer, MinNumberOfBytesNeeded, BytesRead, MinNumberOfBytesNeeded) then Break;         if PChar(Integer(Buffer)+SizeOf(EVENTLOGRECORD))='Microsoft-Windows-Kernel-General' then         begin           if Buffer^.EventID in [12, 13] then             Memo1.Lines.Add('RecordNumber = '+IntToStr(Buffer^.RecordNumber)+' '+PChar(Integer(Buffer)+SizeOf(EVENTLOGRECORD))+' TimeGenerated = '+DateTimeToStr(UnixToDateTime(Buffer^.TimeGenerated))+' EventID = '+IntToStr(Buffer^.EventID));         end;       end else Break;     end;     FreeMemory(Buffer);     CloseEventLog(hEventLog);   finally     Memo1.Lines.EndUpdate;   end; end;

Кто-нибудь может мне коментарии написать? а то я, видать совсем дуб

P.S.: Кстати, не по теме, на форуме спойлеры есть?

[NumLock]

Код:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83

unit Unit1;   interface   uses   DateUtils,   Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,   Dialogs, StdCtrls;   type   TForm1 = class(TForm)     Memo1: TMemo;     procedure FormCreate(Sender: TObject);   private     { Private declarations }   public     { Public declarations }   end;   var   Form1: TForm1;   implementation   {$R *.dfm}   type   PEVENTLOGRECORD = ^EVENTLOGRECORD;   EVENTLOGRECORD = record     Length: DWORD;     Reserved: DWORD;     RecordNumber: DWORD;     TimeGenerated: DWORD;     TimeWritten: DWORD;     EventID: DWORD;     EventType: Word;     NumStrings: Word;     EventCategory: Word;     ReservedFlags: Word;     ClosingRecordNumber: DWORD;     StringOffset: DWORD;     UserSidLength: DWORD;     UserSidOffset: DWORD;     DataLength: DWORD;     DataOffset: DWORD;   end;   const   EVENTLOG_SEQUENTIAL_READ = 1;   EVENTLOG_SEEK_READ = 2;   EVENTLOG_FORWARDS_READ = 4;   EVENTLOG_BACKWARDS_READ = 8;   procedure TForm1.FormCreate(Sender: TObject); var   hEventLog: THandle;   NumberOfRecords: DWORD;   Buffer: PEVENTLOGRECORD;   BytesRead, MinNumberOfBytesNeeded: DWORD; begin   Memo1.Lines.BeginUpdate;   try     hEventLog:=OpenEventLog(nil, 'SYSTEM');     if hEventLog=0 then RaiseLastOSError;     if GetNumberOfEventLogRecords(hEventLog, NumberOfRecords) then Memo1.Lines.Add('NumberOfRecords = '+IntToStr(NumberOfRecords));     Buffer:=GetMemory($10000);     while True do     begin       if not ReadEventLog(hEventLog, EVENTLOG_SEQUENTIAL_READ or EVENTLOG_BACKWARDS_READ, 0, Buffer, 0, BytesRead, MinNumberOfBytesNeeded) then       begin         if GetLastError<>ERROR_INSUFFICIENT_BUFFER then Break;         if not ReadEventLog(hEventLog, EVENTLOG_SEQUENTIAL_READ or EVENTLOG_BACKWARDS_READ, 0, Buffer, MinNumberOfBytesNeeded, BytesRead, MinNumberOfBytesNeeded) then Break;         Memo1.Lines.Add('RecordNumber = '+IntToStr(Buffer^.RecordNumber)+' '+PChar(Integer(Buffer)+SizeOf(EVENTLOGRECORD))+' TimeGenerated = '+DateTimeToStr(UnixToDateTime(Buffer^.TimeGenerated))+' EventID = '+IntToStr(Buffer^.EventID));       end else Break;     end;     FreeMemory(Buffer);     CloseEventLog(hEventLog);   finally     Memo1.Lines.EndUpdate;   end; end;   end.

[VKoonts]

Здорово! Только ничего не понятно. Программа компилится, но вообще не понятно что делает. сымитировал системную ошибку, никакой реакции.

[NumLock]

программа выдает содержимое журнала Windows "Система"

[VKoonts]

У меня ничего не показывает =(

[VKoonts]

Разобрался... при формировании формы не проходит код. Добавил кнопку в которой этот код... и все заработало, осталось в божеский вид это все привести Огромное спасибо!

[VKoonts]

Не уверен что все правильно переводится:

Код:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

Memo1.Lines.Add('RecordNumber = '+IntToStr(Buffer^.RecordNumber)); Memo1.Lines.Add('Источник: '+PChar(Integer(Buffer)+SizeOf(EVENTLOGRECORD))); Memo1.Lines.Add('Дата и время: '+DateTimeToStr(UnixToDateTime(Buffer^.TimeGenerated))); Memo1.Lines.Add('Код события: '+IntToStr(Buffer^.EventID)); Memo1.Lines.Add('Length: '+IntToStr(Buffer^.Length)); Memo1.Lines.Add('Reserved: '+IntToStr(Buffer^.Reserved)); Memo1.Lines.Add('TimeWritten: '+IntToStr(Buffer^.TimeWritten)); Memo1.Lines.Add('EventType: '+IntToStr(Buffer^.EventType)); Memo1.Lines.Add('NumStrings: '+IntToStr(Buffer^.NumStrings)); Memo1.Lines.Add('EventCategory: '+IntToStr(Buffer^.EventCategory)); Memo1.Lines.Add('ReservedFlags: '+IntToStr(Buffer^.ReservedFlags)); Memo1.Lines.Add('ClosingRecordNumber: '+IntToStr(Buffer^.ClosingRecordNumber)); Memo1.Lines.Add('StringOffset: '+IntToStr(Buffer^.StringOffset)); Memo1.Lines.Add('UserSidLength: '+IntToStr(Buffer^.UserSidLength)); Memo1.Lines.Add('UserSidOffset: '+IntToStr(Buffer^.UserSidOffset)); Memo1.Lines.Add('DataLength: '+IntToStr(Buffer^.DataLength)); Memo1.Lines.Add('DataOffset: '+IntToStr(Buffer^.DataOffset));

И код события не всегда корректно отображается:



Черный верно, а красный нет.
И описание события как вставить?
И время почему то -8 часов =(
по Гринвичу чтоли отображается?