Hvad er EVT-filformatet?
.evt er det ældre Windows Event Log-format, der blev introduceret med Windows NT 3.1 i 1993 og brugt frem til Windows XP og Windows Server 2003. Tre indbyggede logkanaler - System, Application og Security - gemte poster i .evt-filer placeret under %SystemRoot%\System32\config\.
Hver fil begynder med en 48-byte header identificeret ved den fire-byte signatur LfLe (hex 4C 66 4C 65). Hver EVENTLOGRECORD-post med variabel længde åbner med de samme bytes i little-endian-form (0x654C664C) og lukker med en gentaget kopi af postens egen samlede længde, hvilket muliggør tovejs-gennemgang. Tekststrenge i posterne er kodet som UTF-16 LE. Ubrugt bufferplads udfyldes med sentinel-værdien 0x00000027.
Loggen fungerer som en cirkulær buffer: Når den konfigurerbare maksimale størrelse nås (standard 512 KB), overskriver filen enten de ældste poster eller stopper optagelsen, afhængigt af administratorens politik.
Microsoft erstattede .evt med .evtx - den XML-baserede Windows Event Log - startende med Windows Vista og Server 2008 i 2007. Moderne Windows Event Viewer kan åbne .evt-filer i kompatibilitetstilstand. Det fulde binære layout er dokumenteret i Microsofts [MS-EVEN]-protokolspecifikation på Microsoft Learn.
Sikkerhed og tryghed
RISIKO: LOWEVT-filer indeholder logdata, ikke eksekverbart indhold. Hændelsesstrenge kan dog indeholde data kontrolleret af en angriber (f.eks. indsprøjtet via log-poisoning); analytikere bør behandle indholdsstrenge som upålidelige input ved parsing. Inden for efterforskning er log-manipulation (sletning eller afkortning af EVT-filer) i sig selv en indikator for kompromittering - tjek Security-loggen for Event ID 517/1102 (audit log slettet).
Formatdetaljer
kort fortaltProgrammer der åbner EVT-filer
Windows4 apps
Windows Event Viewer
Indbygget Åbn eventvwr.msc, derefter Action > Open Saved Log, og find .evt-filen.
Microsoft Log Parser 2.2
Gratis Brug kommandoen: LogParser.exe „SELECT * FROM file.evt“ -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Gratis EVTXECmd.exe -f file.evt --csv output\ - eksporterer til CSV/JSON til analyse.
LibEVT (libyal)
Open-source Kommandolinje-bibliotek til parsing af EVT-filer på Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Open-source Kommandolinje-bibliotek til parsing af EVT-filer på Windows/Linux/macOS. Tekniske detaljer
dyb specifikation| Filtype | Binær struktureret hændelseslog (ældre Windows) |
| Udvikler | Microsoft Corporation |
| Kodning | Binær, little-endian |
| Strengkodning | UTF-16 LE (hændelsesmeddelelsesstrenge) |
| Filsignatur (header) | LfLe (hex 4C 66 4C 65) ved offset 0; header er 48 bytes |
| Post-signatur | 0x654C664C (eLfL) ved starten af hver EVENTLOGRECORD |
| Post-struktur | EVENTLOGRECORD med variabel længde; samlet længde gentages til sidst for tovejs-gennemgang |
| Buffermodel | Cirkulær - overskriver ældste poster eller stopper, når maks. størrelse nås (kan konfigureres via politik) |
| Standard maks. filstørrelse | 512 KB (kan konfigureres af administrator) |
| Udfyldning af ubrugt plads | 0x00000027 sentinel-værdi |
| Logkanaler | System, Application, Security (tre indbyggede logfiler) |
| Understøttet OS | Windows NT 3.1 til og med Windows XP og Windows Server 2003 |
| Afløst af | .evtx (Windows XML Event Log), introduceret i Windows Vista / Server 2008 (2007) |
| Formatdokumentation | [MS-EVEN]-protokolspecifikation (Microsoft Learn) |
| Moderne kompatibilitet | Windows Event Viewer åbner .evt-filer i kompatibilitetstilstand på Vista og nyere |
| Udgivet | 1993 (Windows NT 3.1) |
| Seneste version | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Specifikation | learn.microsoft.com |
EVT-konverteringer
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om EVT-filer.
