Znajdź zawartość

PowerShell Wyłożyłem tu takie małe rozwinięcie, to jest jedna setna możliwości. Sam PowerShell w wersji 1.0 posiada 128 cmdletów, gotowe polecenia oraz praca w klasach WMI, których będzie około 1000szt, praca na obiektach NET oraz COM. XP PRO posiada tylko konsole WMIC. W standardzie niby miała mieć to Vista, ale nie ma i sam nie wiem czy to były pogłoski czy nie. W dziale pobrań Microsoft pojawiła się wesja CTP2 nowej odsłony powłoki skryptowej. Na razie jest to wersja przedpremierowa, oferująca 51 cmdletów więcej. Więcej na WSS.pl PowerShell wymaga zainstalowanego .NET Framework 2.0. Jeśli chcesz mieć od razu z powłoką obiektową, to musisz zainstalować .NET Framework 3.0. MATERIAŁY I LITERATURA: Przykładowe skrypty i dokumentacje: Paczka skryptów z M$ Windows PowerShell 1.0 Documentation Pack Windows PowerShell Quick Reference Windows PowerShell Graphical Help File Windows PowerShell Graphical Help File (Version 2.0) Free Windows PowerShell Book Wstęp do PowerShell-WSS.pl Materiały pomocnicze-Politechnika Gdańska Polityki uruchamiania skryptów Wikipedia Pash = PowerShell + Bash IIS 7.0 PowerShell Provider Tech Preview 1 Codeplex - skrypty różnych autorów Strona główna Windows PowerShell 2.0 CTP2 The Windows PowerShell Toolbox Książki: Windows PowerShell. Leksykon kieszonkowy (Lee Holmes -Data wydania: 10/2008) Windows PowerShell Przewodnik po skryptach (Data wydania: 09/2008) PowerShell Krok po kroku (Data wydania: 08/2007) PowerShell in Practice (Richard Siddaway - Data wydania: August 2008) Windows PowerShell? v2.0: TFM 3rd Edition Windows PowerShell 2 For Dummies - by Steve Seguis Microsoft Powershell, VBScript & JScript Bible - by William R. Stanek (Publication Date: January 2009) Windows PowerShell Quick Reference - by Lee Holmes, 2006 Pro Windows PowerShell (Pro) by Hristo Deshev Windows PowerShell - Guide de référence pour l'administration systeme Scripting mit Windows PowerShell Microsoft Windows PowerShell Programming for the Absolute Beginner Windows PowerShell Crashkurs Windows Powershell Tfm Professional Windows PowerShell - Andrew Watt Windows Powershell in Action Windows Powershell Cookbook Windows Powershell Unleashed Professional Windows Powershell Programming - Arul Kumaravel & Jon White & Michael Naixin Windows Powershell V1.0 Tfm 2nd Edition Windows powershell - kit d'administration by E. Wilson Windows Powershell 2.0 Unleashed Sams Teach Yourself Windows PowerShell in 24 Hours Windows PowerShell Scripting Guide Monad (AKA PowerShell) An Introduction to Microsoft PowerShell Schnelleinstieg in die Windows PowerShell PowerShell Pocket Reference - By Lee Holmes, May 2008 Windows PowerShell : The Definitive Guide by -Lee Holmes (2007) Essential PowerShell By Holger Schwichtenberg, Jun 2008 BLOGI POWERSHELL Przykłady, skrypty, publikacje, programy, pomoc: PoshXmpp (umożliwia wysyłanie i odbieranie wiadomości poprzez Jabbera) OneNote PowerShell Provider (umożliwia zapis wyników w programie OneNote z pakietu Office) Windows Desktop Search Powershell Cmdlet (do poprawnego działania należy mieć zainstalowany WDS - Windows Desktop Search) PowerShell dig (nslookup) Cmdlet! - PoshNet How Can I Determine Folder Size? PowerShellASP (Freeware) The Official Scripting Guys Forum! cd into Sysinternals Tools from PowerShell New Free Windows PowerShell Quick Reference Card Background Timer PowerShell WPF Widget PowerPad Windows PowerShell Virtual Machine Manager Cmdlet Reference PowerShell Quick Reference By Lee Holmes (2006) dostępne w Google Windows PowerShell Week Script Samples The VBScript to Windows PowerShell Conversion Guide Out-BarGraph ActiveXPoSH (PS for VBScript/JScript) - SAPIEN Tech Determining the Size of a Folder Get-Ipconfig function select-member Dir Na polskich stronach: Powershell v2.0 wspiera WPF by danieb Powershell się przyjął by danieb Windows PowerShell - dobry wygląd (Artykuł w TechNet) IIS7 Powershell provider CTP2 SKRYPTY VBS I ZESTAWY NARZĘDZI Skrypty vbs, Centrum skryptów w Twoim komputerze, narzędzia: Script Center All-in-One (pobierz z M$) TechNet Script Center Sample Scripts (pobierz z M$) Do-It-Yourself Script Center Kit (pobierz z M$) Sesame Script, 2005-2007 (pobierz z M$) Narzędzia: Sysinternals (Mark Russinovich, Bryce Cogswell, M$) Support Tools (Zestaw narzędzi M$) Resource Kit (Zestaw narzędzi M$)

WMIC Windows Management Instrumentation Console PowerShell vs. WMIC Przybliże bardziej temat. PowerShell pracuje na klasach WMI (Windows Mangamet Instrumentation) oraz głównie na obiektach NET. Jest bardzo elastyczny możemy w PowerShellu również uzywać zwyczajnych komend w CMD - wierszu poleceń. Zanim przejde do PowerShella proponuje zajrzeć do konsoli WMIC (Windows Mangament Instrumentation Console) dostępna dla użytkowników posiadających XP PRO. Ma może nie takie potężne mozliwości jak PS, ale pracuje na gotowych aliasach (jak i PS) oraz możemy pracować na samych klasach WMI. W PowerShellu możemy tworzyć własne cmdlety i funkcje, w WMIC nie, ale do rzeczy. ~~~~~WMIC START/uruchom/CMD w nim wpisac WMIC, pojawi się ścieżka wmic:root\cli> Jesteśmy już w środku. Aby zobaczyć spis aliasów i komęd nalezy wpisać -? Lista jest dość spora, wpiszmy polecenie PROCESS, dostatniemy potęzny wypis właściwości każdnego procesu: Poniżej na obrazku znajdują sie przełączniki do przefiltrowania danych czyli tego jakie dane chcemy uzyskać mamy GET lub LIST, wpiszmy PROCESS GET -? Wyświetla nam się wszystkie właściwości jakie możemy uzyskać dla tego przełącznika: Jeśli wpiszemy PROCESS GET /ALL otrzymamy wszystkie informacje zwrócone przez ten przełącznik. Ale jeśli chcemy przefilitrowac dane? znowu PROCESS GET -? po lewej stronie będzie spis poleceń jakie chcemy wybrać tak więc PROCESS GET Name, SessionId, VirtualSize ... czyili nazwa procesu nr Sesji ID, uzycie pamięci wirtualnej A zobaczmy właściwość LIST: PROCESS LIST -? znajdują się tam gotowe zestawy dodatkowego przełącznika jak BRIEF czy MEMORY itp... Więc co wyświetli PROCESS LIST BRIEF a PROCESS LIST MEMORY: Formatowanie zawartości wyświetlanych danych. Jeśli chcemy, aby zamiast tabeli wyświetlała się lista wpiszmy: PROCESS GET Name, SessionId, VirtualSize /value Dane zostaną wyświetlone jedne pod drugim Wczesniej mówiłem o klasach WMI nawet te aliasy jako gotowe polecenia tylko posługują sie klasami, ale jak wygląda klasa process? Win32_Process daje ten sam efekt co wpisane PROCESS, ale przed musimy wpisać przełącznik PATH PATH Win32_Process , wyświetli te same dane co PROCESS. Idziemy dalej chcemy przefiltrowac dane PATH Win32_Process -? Załóżmy że chcemy zmonitować strumień danych Path Win32_Process GET /all /every:3 /repeat/:8 włąsciwośc every oznacza co jaki czas w tym przypadku co 3 sekundy repet - powtórzenia w tym przypadku 8 CD..... praca na procesach w WMIC. Filtrowanie! Chcąc wyświetlić tylko dany proces uzyjmy polecenia: PROCESS WHERE (Name='gg.exe') GET name, processid Wyświetli tylko process gg, jego nazwe oraz ide procesu W przykładzie jeśli gadu-gadu przekoroczy 30MB uzycia pamięci to process zostanie zamknięty: process where "name='explorer.exe' and workingsetsize>30000000" call terminate Jeżeli chcemy przefiltrować aby bez wpisywania własciwości wyświetliły się podstawowe informacje o procesie gg należy użyć: PROCESS WHERE (Name="gg.exe") LIST BRIEF Jeżeli chcemy wyświetlić wszystkie własciwości procesu gg należy użyć: PROCESS WHERE (Name="cmd.exe") LIST FULL Jeżeli chcemy wyświetlić wszystkie właściwości zalokowanej pamięci przez process nalezy uzyć: PROCESS WHERE (Name="cmd.exe") LIST MEMORY Jeżeli chcemy zobaczyć wykaz przełaczników dla polecenia LIST należy użyć: PROCESS WHERE (Name="cmd.exe") LIST -? Wyświetlą sie właściwości: BRIEF FULL INSTANSE IO MEMORY STATISTICS STATUS SYSTEM i inne........ Jeżeli chcemy przestawić priorytet procesu w tym przypadku na wysoki należy użyć: process where "name='gg.exe'" call SetPriority 64 Ten sam przykład tylko wywołany na konkretnej klasie: PATH Win32_Process WHERE Name="gg.exe" call SetPriority 64 Jeżeli chcemy zabić proces należy użyć: process where (name="gg.exe") call terminate Jak zabić konkretny proces po numerze pidu procesu: wmic process PID delete Jeżeli chcemy przefiltrować tzn wyświetlić wszystkie procesy zaczynające się na litere g, nalezy uzyć: process where (name like "g%") get name Jeżeli nie chcemy wywołać sesji WMIC czyli wykonać nas tylko zadanie, które nas interesuje, wywołane jako pojedyncza komęda to zawsze przed konkretnym zadaniem otwieracją wiersz polecenia wpisujemy WMIC np... WMIC process where (name="gg.exe") call terminate Monitorowanie pełnych statystyk procesów co sekunde z trzema powtórzeniami z zapisem do pliku html. Sam przerwie działanie: wmic process get /every:1 /repeat:3 /format:htable > c:\process.htm Monitorowanie tylko nazwy procesu i priorytetu: wmic process get name, priority /every:1 /repeat:3 /format:htable > c:\process.htm Jak sprawdzić jakie możemy wykonywać metody na konkretnym obiekcie. W tym przykładzie na usługach. Żeby dowiedzieć się jakie czynności możemy wykonać należy użyć polecenia CALL (wykonuje metody) A więc: WMIC Service CALL -? Polecenie wyświetli metody: cd....... Jak uruchomić konkretną usługe: WMIC SERVICE where caption='Nazwa usługi' CALL STARTSERVICE cd...... Jak wyłączyć usułge z trybu startowego(na stałe) WMIC SERVICE WHERE Caption="Nazwa usługi" CALL ChangeStartMode "Disabled" Jak przefiltrować usługi, które uruchomione są w aktualnym momencie: wmic service where (state="running") get name, state to samo tylko dotyczy sterowników systemowych: wmic sysdriver where (state="running") get name, state Jak przefiltrować usługi, które są ustawione w trybie startowym właściwością Manual: wmic service where (StartMode="Manual") get name, StartMode, State, DisplayName /value Jak włączyć konkretny process - aplikacje: wmic process call create "iexplore.exe" Monitorowanie procesów tych które, pobierają do 20MB pamięci. Monit co sekunde z trzydziestoma powtórzeniami. wmic process where "WorkingSetSize> 20000000" get name, workingsetsize /every:1 /repeat:30 Jak odczytać logi systemowe z dziennika zdarzeń z zakładki "system" : wmic NTEVENT where LogFile='system' Jak wyświetlić informacje o napędach oraz rodzaju systemu plików na volumie, ilość wolnego miejsca, litery volumu, rozmiar volumu, numer seryjny: wmic logicaldisk GET name, freespace, FileSystem, Size, VolumeSerialNumber Jak wyświetlić do jakiej klasy należy konkretny alias w konsoli WMIC: wmic Alias GET FriendlyName, Target Jak wyświetlić listę aktualizacji oraz poprawek systemowych: Wmic qfe get /all Jak zapisać dane o poprawkach i aktualizacjach do pliku html z zapisem danych pod sobą, ale w formacie klamrowym: wmic qfe get /format:hmof> qfe.htm Jak dowiedzieć się o której godzinie oraz ile razy logowali się na maszynie poszczególni użytkownicy, wraz z wylogowaniem, ilość logowania z zapisem danych pod sobą: wmic netlogin get Name, NumberOfLogons, LogonHours, LastLogon, LastLogOff /format:value Jak wyświetlić urządzenia sterujące takie jak USB. Skorzystamy z klasy abstrakcyjnej CIM_Controller, która wyświetla i grupuje różne urządzenia: wmic PATH CIM_Controller GET Name,Status,SystemName,ProtocolSupported, Status Wiązania poleceń filtrujących dane, dostępne z wiersza polecenia i ich stosowanie w poleceniach konsoli WMIC. Mamy dwa polecenia SORT oraz FIND. Polecenie SORT ma za zadanie sortować wyświetlone dane, a polecenie FIND szuka ciągu znaków w plikach. W prostym przykładzie polecenia FIND: wmic process list brief | find /I "svchost" Ma za zadanie wyświetlić podstawowe informacje o koknretnym procesie oraz przefiltrować wyniki tak, aby wyświetlić tylko interesujące nas procesy w poleceniu find czyli svchosty. Domyślnie polecenie Find ma włączone rozpoznawanie dużych i małych znaków, aby wyłączyć te właściwość należy za poleceniem Find użyć przełącznika /I. W innym razie wyniki nie zostaną wyświetlone. W innym przykładzie: wmic process list brief | find /I "a" zostały wyświetlone procesy te które w nazwie zawierają wyraz a oraz te które posiadają te litere w nazwie członowej. Lista jest pomieszana. Co zrobić by te same dane zostały wyświetlone w porządku alfabetycznym. Należy użyć za poleceniem find, polecenia sort. Przykład: wmic process list brief | find /I "a" | sort /+1 A jak wyświetlić te same dane, ale wyświetlone od końca alfabetu do jego początku: wmic process list brief | find /I "a" | sort/+63 Podwójne sortowanie. Mamy nastepujące polecenie, które ma za zadnie wyświetlić nazwe skrótową sterownika, tryb uruchamiana sterownika, stan sterownika. Posortowany na dwa sposoby. Polecenie Find wyszykuje stan sterowników, które są uruchomione w aktualnym momencie z własciwości State. A skąd te polecenie wie że ma po tej właściwości sortować. Jeżeli ostanią napisaną właściwością w wierszu jest State to te polecenie automatycznie przefiltruje sterowniki po tej właściwości. Następnie polecenie sort /+15 ma za zadanie posortować tryb uruchamiania sterowników ( kolejność automatycznie, boot, wyłączone, ręczne, system): wmic sysdriver get startmode, name, state| find /I "running" | sort /+15 Jeżeli użyjemy takiej kombinacji sort /+1 otrzymamy te same dane z tą różnicą że wyniki zostaną wyświetlone alfabetycznie po nazwie skrótowej sterownika. Jeżeli użyjemy kombinacji sort /+63 wyniki zostaną wyświetlone również alfabetycznie, ale od końca. Dodajmy do tego jeszcze jedno polecenie Findstr, które podobnie wyszukuje ciągów w plikach. Podobnie przełącznikiem /I wyłączyć rozpoznawanie dużych i małych znaków. Ma za zadnie wyświetlić te sterowniki, które w nazwie zawierają litere F, a więc wyświetlenie sterowników aktualnie uruchomionych w systemie, posortowany trybem startowym i wyświetlenie tylko tych, które w nazwie członowej zawierają litere F lub w całej nazwie: wmic sysdriver get startmode, name, state| find /I "running" | sort /+15 | Findstr /I "F" Użycie polecenia MORE ,które ma za zadanie wyswietlać dane po jednym ekranie na raz. Czyli jeśli danych jest dużo to użycie tego polecenia spowoduje cykliczne wyświetlenie danych na wysokości okna, przewijane spacją, cyklicznie pojawi się napis -- Dalej --. Polecenie MORE można używać do wiekszości poleceń takich jak Dir w Cmd oraz w PowerShellu np. dla Get-Childitem. Więc: wmic service get startmode, name, state| find /I "stopped" | More Można również dostawiać te same polecenia po sobie. Listing serwisów, które są aktualnie zatrzymane w systemie, a ustawione w trybie manualnym: wmic service list brief | find /i "stopped" | find /i "manual" A jak wyświetlić czy istnieją w konsoli wmic polecenia związane z pamięcią (MEM): wmic alias get FriendlyName | find/i "MEM" Jak wyświetlić konkretny program, który jest uruchamiany wraz z startem systemu. W przykładzie sprawdzenie czy uruchamia się antywirus. Jeśli po wpisaniu nie wyświetlą się żadne wyniki oznacza to że wybrany program nie startuje wraz z systemem: wmic startup list brief | findstr /i "nod" Użycie samego polecenia | sort /+63 spowoduje alfabetyczny sort po nazwie od końca alfabetu. Natomiast użycie polecenia | find /I "am" za stosem polecen wmic, przefiltruje i wyświetli tylko te sterowniki, które w nazwie posiadają litery am Jedna uwaga. Łączenia poleceń nie działają w samej konsoli WMIC, można je stosować jako pojedyńcze wykonanie polecenia w Cmd. Jak wyświetlić stan wszystkich przełączników globalnych konsoli WMIC: wmic context Jak uruchomić wszystkie usługi, które są zatrzymane w systemie: Wmic service where "State='Stopped'" call StartService Jak przestawić tryb uruchamiania dla wszystkich usług, które są wyłączone w systemie na tryb uruchamiania - ręczny: Wmic service where "StartMode='Disabled'" Call ChangeStartMode "Manual" Jak wyświetlić nazwy przestrzenne w okreslonej przestrzeni nazw: Wmic /NAMESPACE:\\root\ PATH __NAMESPACE Jak wyświetlić dane w pliku html, posortowane w grupie czyli nazwa procesu-właściwości pod sobą: wmic process get /format:hform.xsl > C:\Proc.htm Pobieranie szczegółowej pomocy! Mam do dyspozycji dwa przełączniki: /?:Brief - podstawowa /?:Full - szczegółowa Jak wyświetlić szczegółowy opis globalnych przełączników oraz dostępnych aliasów w konsoli wmic: wmic /?:full Jak wyświetlić opis parametru aliasu dla aliasu process i do jakiego obiektu należy ten alias: wmic process BNF /?:full Jak wyświetlić szczegółowo opisaną listę przypisań (właściowści) dla usług systemowych: wmic service create /?:Full Jak wyświetlić szczegółowo opisaną listę metod dla procesów: wmic process call /?:Full Jak wyświetlić szczegółowy opis dla właściwości przełącznika GET: wmic alias get /?:full Szkoda że szczegółowo wyświetlone opisy właściwości są po angielsku. Jeśli skorzystamy z klas wmi to otrzymamy opisy w naszym języku, a więc: Polecenie te wyświetla szczegółowy opis zmiany trybu uruchamiania usług systemowych: wmic path Win32_service call ChangeStartMode /?:Full Polecenie te wyświetla szczegółowy opis poszczególnych właściwości usług systemowych takich jak Stan, nazwe itp. wmic path Win32_Service get /?:full Polecenie te wyświetla szczegółowy opis listy przypisań czyli właściowści procesów takich jak wątki, zatrzymanie procesu itp. wmic path Win32_Process create /?:full Jak wyświetlić jakie możemy wykonywac metody na sterownikach systemowych - usługach. Dostaniemy naprawde porządny spis dla wykonania tych metod: wmic path win32_SystemDriver call /?:full Możemy: - zmodyfikować usługę - zmienić tryb uruchamiania - tworzyć nową usługe - usuwać istniejącą usługe - zaktualizować stan zgodnie z menedżerem zadań - wstrzymać usługę - wznowić usługę - uruchamiać zatrzymaną usługę - zatrzymać usługę - wysłać kod sterujący Jak wyświetlić listę wszystkich dostawców WMI: wmic path __Win32Provider get name Jak zapisać konkretne dane w pliku xml, jako otwierana lista z właściwościami, formatowane danymi pod sobą: wmic /record: c:\serwisy.xml service get caption, State, StartMode /value Przykład ten na dobrze sprawdzonych serwisach;). Żeby uzyskać taki efekt należy za głównym poleceniem wmic podać globalne polecenie record, które rejestruje wszystkie wporwadzone polecenia w pliku w formacie xml. Nastepnie podajemy lokalizacje pliku, gdzie ma wylądować. W Tym przypadku zapis będzie w lokalizacji c:\serwisy.xml, oczywiście z rozszerzeniem xml. Kolejnie wpisujemy intereresujący nas alias service, następnie chcemy uzyskać (w tym przykładzie) trzy interesujące nas właściwości, jak nazwa serwisu, tryb uruchamiania, status serwisu get caption, State, StartMode i na koniec, aby zapis do pliku xml nie został zapisany w tabeli, a jako lista czyli dane pod sobą należy użyć polecenia /value. Liste można rozwijać i zwijać. W podobnym przykładzie zapisu tylko wyświetlenie wszystkich właściwości z aliasu nicconfig, który wyświetla informacje o zarządzaniu kartami sieciowymi: wmic /record: c:\karta.xml nicconfig get /value. Zamiast przełącznika /value mozna również użyć /format:list. A jeśli ktoś woli, aby formatowanie było w postaci tabeli w przykładzie: wmic /record: c:\serwisy.xml service list brief /format:Table. Wyświetli podstawowe informacje. Jeden mankament jest taki, jeśli będziemy chcieli dobrać sobie wybrane właściwości poprzez przełącznik GET i zapisać w pliku xml w postaci tabeli to formatowanie tabeli nie wyjdzie równe, więc lepiej i estetyczniej używać przełącznika LIST Filtrowania ciąg dalszy........... A jak zrobić żeby w pierwszej kolejności przekierować dane do pliku html: wmic /output:c:\procesy.htm process list full /format:hform Polecenie output określa typ przekierowania danych wyjściowych, następnie określamy lokalizacje i nazwe pliku, kolejnie określamy konkretny alias,a na końcu formatujemy zawartość tak jak chcemy. Kolejny przykład. W pierszej koleności zostaje okreslony typ przekierowania danych wyjściowych z określeniem lokalizacji, przefiltrowany tak, aby wyświetlił tylko te usługi, które są uruchamiane automatycznie ze startem systemu i uruchomione aktualnie w systemie. Z wyciągnięciem tych informacji, które nas interesują jak pełna nazwa usługi, tryb uruchamiania, stan. Zapisane w formacie htable w pliku html: Wmic /output:"c:\LOG.htm" service where "StartMode="auto" and State="running"" get DisplayName, StartMode, State /format:"htable" Podobny, a właściwie ten sam przykład. Został w nim dodany typ serwisu oraz ProcessId czyli PID, którego serwis używa w procesie svchost. Z wyciągnieciem tych samych informacji, ale z sortem numeru Pidu usługi: Wmic /output:"c:\LOG.htm" service where "StartMode="auto" and State="running"" get DisplayName, StartMode, State, ProcessId,ServiceType /format:htable:"sortby=ProcessId" Kolejny podobny przykład, ale tym razem wykonanie logów z dziennika zdarzeń. Alias ntevent, który zbiera wpisy z dziennika zdarzeń systemu. Jak wyświetlić logi systemowe, które posiadają w liście ostrzeżenia: Wmic /output:"c:\System.htm" ntevent where "logfile="System" and type="warning"" get Logfile, Message, SourceName, EventCode,Type, TimeGenerated /format:"htable" W komędzie zostały umieszczone nastepujące wartości: Logfile - zakładka system Message - informacja zdarzenia SourceName - żródło EventCode - identyfikator zdarzenia Type - warning - ostrzeżenie TimeGenerated - data wygenerowania loga Rodzaje typów ostrzeżeń - Type - error - warning - information Podobny przykład, ale wyświetlenie z zakładki Aplikacje, tych aplikacji, które wygenerowały błąd (error): Wmic /output:"c:\Aplikacje.htm" ntevent where "logfile="Application" and type="error"" get Logfile, Message, SourceName, EventCode,Type, TimeGenerated /format:"htable" Co do przykładu wyżej ten sam efekt uzyskamy korzystając z konkretnej klasy WMI. Alias ntevent używa klasy Win32_NtLogEvent . Przed użyciem konkretnej klasy musimy użyć polecenia path, które wprowadza pełne ścieżki obiektów WMI. A więc: Wmic /output:"c:\System.htm" path Win32_NtLogEvent where "logfile="Application" and type="error"" get Logfile, Message, SourceName, EventCode,Type, TimeGenerated /format:"htable" Ciąg dalszy listowania przez filtrowanie......... Jak przefiltrować wyniki tak, aby wyświetlić pozycje w dzienniku zdarzeń, które to składniki, bądż aplikacja, usługa, sterownik, podsystem utworzyło log czyli żródło zdarzenia. W przykładzie listing serwisów z datą wygenerowania loga, żródłem zdarzenia, pełnym komunikatem o zdarzeniu, uzupełnieniu wpisu raportu. Z zapisem danych do pliku html: WMIC NTEVENT WHERE SourceName="Service Control Manager" GET Message,EvenType,insertionstrings,TimeGenerated /FORMAT:HTABLE > c:\SerLog.htm Żródła zdarzeń moga być: eventlog, tcpip, application popup itp..... A jak wyświetlić wszystkie wpisy w dzienniku zdarzeń, które posiadają loga z błędami aplikacji (error). Zostaną wyświetlone tylko te aplikacje, które wygenerowały błąd oraz pozycje w dzienniku zdarzeń zostaną posortowane od pierwszych wpisów do ostatnich w kategorii numeru pozycji w dzienniku "sortby=RecordNumber" jednakże typy wygenerowane przez system czy aplikacje będą rozrzucone. Bez sortu typy czyli żródła logów będą ułożone chierarchicznie, komunikat zdarzenia, uzupełnienie komunikatu zdarzenia, czas wygenerowania loga w dzienniku zdarzeń, typ czyli żródło zdarzenia oraz LogFile, które wyświetla unikatowy identyfikator klasy oraz najwazniejsze EventType czyli typ zdarzenia, którym to filtrowane są wyniki w przykładzie poniżej z zapisem danych do pliku html WMIC NTEVENT WHERE "EventType="1"" GET Message, EvenTtype,insertionstrings,TimeGenerated,LogFile,SourceName, RecordNumber /FORMAT:htable:"sortby=RecordNumber" >c:\ErrorLog.htm Rózróżniamy trzy typy zdarzenia, które generuje właściwość LogFile: informacja - oznaczona jako typ 3 ostrzeżenie - oznaczona jako typ 2 błąd - oznaczona jako 1 Właśnie tego typu filtrowanie EventType= pozwala na wyświetlenie konkretnych typów zdarzenia z całego dziennika zdarzeń, a nie tylko z wybranej kategorii. Możliwość listowania wybranego działu w pozycji dziennika zdarzeń w przykładzie listing tylko tych komunikatów z zakładki system, które zawierają ostrzeżenia: WMIC NTEVENT WHERE "LogFile="system" and EventType="2"" GET Message, TimeGenerated, EvenTtype,insertionstrings,TimeGenerated,LogFile /FORMAT:htable >c:\Loga.htm Listing komunikatów o błędach z całego dziennika zdarzeń z wykożystaniem klasy wmi, zapisane do pliku html w formacie tabeli, posortowane według pozycji w dzienniku zdarzeń: WMIC /output:"c:\LOG.htm" path Win32_NtLogEvent WHERE "EventType="1"" GET Logfile, Message, SourceName, EventCode,Type, TimeGenerated /FORMAT:HTABLE:"sortby=LogFile" Jak już jesteśmy przy dzienniku zdarzeń to może warto zajrzeć do aliasu nteventlog , który zarządza plikiem dziennika zdarzeń. A więc chcemy sie dowiedzieć jakie pozycje posiada dziennik zdarzeń, ile każda pozycja posiada wpisów z logami oraz jaki jest rozmiar pozycji dziennika: wmic nteventlog get LogFileName, NumberOfRecords, FileSize filesize - rozmiar NumberOfRecords - ilość wpisów LogFileName - nazwy pozycji w dzienniku zdarzeń Opisze dwie metody, które możemy wykonywać w aliasie nteventlog. Jest to: BackupEventLog - tworzenie kopi zapasowej loga cleareventlog - usunięcie wpisów z wybranej pozycji Tak więc, jeśli chcemy stworzyć kopie zapasową logów z zakładki system i zapisać go do pliku, należy użyć polecenia: wmic nteventlog where "LogFileName = "System"" Call BackupEventLog "C:\Syslog.evt" W przykładzie, jeśli chcemy usunąć wpisy z zakładki Aplikacje, należy użyć polecenia: wmic nteventlog where "LogFileName = "Application"" call cleareventlog Pomyślnie wykonane polecenie wyświetli taki komunikat, zwracając wartość 0: Jak wyświetlić do jakiej klasy należy konkretny, wybrany do sprawdzenia alias: WMIC ALIAS Nazwa-Aliasu Get Target UZUPEŁNIENIE. Jeśli w wyżej podanych przykładach lub podobnych, pojawi się taka informacja w pliku html: lub w wierszu poleceń: Nie oznacza to złego wykonania polecenia, a informuje o braku wpisów z wybranej gałęzi dziennika zdarzeń. Alternatywnie skrypt eventquery.vbs do zbierania informacji z pliku dziennika zdarzeń Możemy również skorzystać z narzędzia, które oferuje system. Posiada możliwość sporządzania logów z komputerów w sieci lokalnej. Uruchamiany za pomocą hosta skryptów. Jak wyświetlić pomoc narzędzia: Cscript eventquery.vbs /? Jak wyświetlić wpisy z dziennika zdarzeń z wybranej zakładki: Cscript eventquery.vbs /l "application" Jak wyświetlić szczegółowy opis zdarzeń, jak date, źródło, rodzaj zdarzenia dla wybranej zakładki: Cscript eventquery.vbs /l "application" /v Jak wyświetlić szczegółowy opis zdarzeń, jak date, źródło, rodzaj zdarzenia dla wszystkich zakładek: Cscript eventquery.vbs /v Jak formatować wyświetlanie danych, w przykładzie format listy: Cscript eventquery.vbs /l "application" /v /FO LIST dostępne przełączniki formatowania: TABLE, LIST, CSV Jak określić zakres zdarzeń do wyświetlania. W przykładzie skrypt kolokwialnie przeszuka we wszystkich zakładkach 6 najnowszych wpisów w dzienniku, jeśli nie ma wpisów lub jest ich mniej poda informacje: Cscript eventquery.vbs /R 6 Więcej informacji na stronie MS ****************************************************************** Przegląd kont systemowych Ostatnio przeglądając tematy forum, natrafiłem na podany skrypt vbs w jednych z tematów przez Picasso. Skrypt SID(pobierz) - z zasobów Picasso, który ma za zadanie wyświetlić ilość i jakie konta posiada nasz system. Ale co zrobić, gdy nie mamy takiego skryptu, a chcemy uzyskać w tej tematyce informacje. W tym celu należy użyć aliasu useraccount , który zarządza kontami systemowymi, Sam alias korzysta z klasy Win32_UserAccount. Więc jak wyświetlić nazwy kont, ile kont posiada system, czy jest to konto administracyjne z zapisem danych do pliku txt w lokalizacji C:\ wmic useraccount Get Caption, SID, Name, Description, Disabled, PasswordRequired, Lockout, PasswordChangeable /value >C:\Konto.txt Caption - jest tekstowym opisem obiektu SID - jest to unikalny numer konta ( każde konto ma swój unikalny numer zwany SID, SID jest za każdym razem inne przy stworzeniu nowego konta, nie zmienia się on podczas zmiany nazwy konta. Za numerem SID jest również numer RID) Name - wskazuje nazwę konta Description - tekstowy opis obiektu Disabled - określa czy konto użytkownika jest wyłączone FullName - wyświetla pełną nazwę uzytkownika lokalnego PasswordRequired - określa czy hasło jest wymagane na koncie użytkownika Lockout - określa czy konto użytkownika jest zablokowane PasswordChangeable - określa czy hasło na koncie użytkownika może być zmienione We wartości Disabled zauważymy następujące dane TRUE albo FALSE, wartość TRUE oznacza potwierdzenie właściwości Disabled czyli dane konto jest wyłączone. Wartość FALSE oznacza że dane konto jest włączone. Identyfikatror SID i RID S-1-5-21-746137067-2025429265-725345543-500 Jak pisałem wyżej SID jest to unikalny numer konta, a czym jest RID? RID jest to numer odpowiadający uprawnieniom konta jeśli numer SID ma wartość 500 oznacza to że jest to konto administracyjne z pełnymi uprawieniami, jeśli wartość 500 jest większa oznacza to ze konto nie ma pełnych uprawień administracyjnych. Dodatkowo narzędzie PsGetSid z zestawu narzędzi PsTools autorstwa Sysinternals, działające bez instalacji z lini wiersza poleceń wyświetla numer SID, aktualnie zalogowanego użytkownika do systemu. Downland: PsGetSid v1.43. Także narzędzie Whoami z zestawu narzędziowego Support Tools posiada zdolność do wyświetlania numeru SID konta i grup. Użycie narzędzia: Samo podanie polecenia Whoami wykaże aktualnie zalogowanego użytkownika Poleceniem Whoami /USER /SID wyświetlimy - aktualnie zalogowanego użytkownika wraz z podaniem numeru SID Zestaw narzędzi Support Tools mozna pobrać stąd: Klik. Cd..... Wykonanie tej samej operacji w PowerShellu: Get-WmiObject Win32_UserAccount | Fl Caption, SID, Name, Description, Disabled, PasswordRequired, PasswordChangeable, Lockout To tyle.... Skanowanie dysku czasami bywa uciążliwe, a czasami bardzo przydatne. Jak wykluczyć dysk ze sprawdzania przy następnym uruchomieniu komputera: W Przykładzie C:\ wmic logicaldisk call ExcludeFromAutochk "C:" A Jak uruchomić narzędzie do sprawdzania dysku i od razu rozpocząć skanowanie w poszukiwaniu błędów: WMIC logicaldisk WHERE drivetype=3 call chkdsk wartość 3 oznacza że każda litera dysku fizycznego będzie sprawdzana. W przykładzie poniżej podanie wartości 2 spowoduje skanowanie tylko dyskietki: Możliwe jest również zaplanowanie skanowania przy ponownym uruchomieniu komputera poprzez użycie metody - ScheduleAutoChk. To Tyle... ****************************************************************** WMIC - listing z Msconfig, programów startujących wraz z systemem Ostatnio przeglądając tematy w dziale Windows, zauważyłem powklejane screeny msconfig z spisem programów uruchamianych wraz z startem systemu. Prosto i szybko można uzyskać te samą listę z konsoli wmic i zapisać je do pliku txt, na dysku C. Więc: wmic path Win32_StartupCommand get Name, User, Location, Command > C:\List.txt Command - wskazuje ciąg reprezentujący wiersz polecenia uruchamiany przez polecenie startowe. Location - wskazuje ścieżkę, w której polecenie startowe rezyduje w dyskowym systemie plików. User - wskazuje nazwię użytkownika, dla którego to polecenie uruchomieniowe będzie działać. Name - wskazuje nazwę pliku polecenia startowego. Command C:\WINDOWS\system32\CTFMON.EXE Location HKU\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Name CTFMON.EXE User ZARZĄDZANIE NT\SYSTEM Zapisanie w postaci listy: wmic path Win32_StartupCommand get Name, User, Location, Command /FORMAT:list > C:\List.txt