如何使用Powershell获取事件消息？

Question

$FilterXML = '<QueryList>
                <Query Id="0" Path="System">
                    <Select Path="System">*[System[Provider[@Name="Service Control Manager"] and (Level=2)]]</Select>
                </Query>
             </QueryList>'
$Errors = Get-WinEvent -FilterXml $FilterXML
$Errors = $Errors | ?{ $_.ToXml().Contains("SomeService") }

问题是对于每个对象，Message 属性都是 null。我可以使用方法 .ToXml() 获取一些信息，但无法获取您可以在常规选项卡下的 Windows 事件查看器中看到的消息。

如果我使用 Get-EventLog cmdlet，则消息属性返回字符串 关于一些错误。

源“服务控制”中事件 ID“-1073734793”的描述 找不到经理。本地计算机可能没有 必要的注册表信息或消息 DLL 文件来显示 消息，否则您可能没有访问它们的权限。下列 信息是事件的一部分：'SomeService', '2', '0', '3', 'Run 配置的恢复程序'

Answer 1

尝试这样的事情，我相信这相当于你正在尝试的事情。

get-winevent -FilterHashtable  @{LogName="System";ProviderName="Service Control Manager";Level=2} | ?{$_.message -match "someservice"}

我想 Get-WinEvent 能够读取那些作为“错误消息”出现的命令：

我尝试了两个等效的命令。使用 Git-WinEvent 获得预期消息，并使用 Get-EvenLog 获得“错误”消息：

get-eventlog -LogName System | ?{$_.eventid -eq 10016} | select message

get-winevent -LogName System  | ?{$_.id -eq 10016} | select message

Answer 2

你能用 WMI 获取消息吗？

Get-WmiObject Win32_NTLogEvent -Filter "Logfile='system' AND SourceName='Service Control Manager' AND Message LIKE '%SomeService%'" | select Message