Vad är filformatet EVT?
.evt är det äldre formatet för Windows Event Log som introducerades med Windows NT 3.1 år 1993 och användes fram till Windows XP och Windows Server 2003. Tre inbyggda loggkanaler - System, Application och Security - lagrade poster i .evt-filer som förvarades under %SystemRoot%\System32\config\.
Varje fil börjar med ett 48-byte huvud som identifieras av signaturen på fyra byte LfLe (hex 4C 66 4C 65). Varje EVENTLOGRECORD-post med variabel längd inleds med samma byte i little-endian-form (0x654C664C) och avslutas med en upprepad kopia av postens egen totallängd, vilket möjliggör dubbelriktad genomgång. Textsträngar i posterna är kodade som UTF-16 LE. Oanvänt buffertutrymme fylls med sentinel-värdet 0x00000027.
Loggen fungerar som en cirkulär buffert: när den konfigurerbara maximala storleken uppnås (standard 512 KB), skriver filen antingen över de äldsta posterna eller slutar registrera, beroende på administratörens policy.
Microsoft ersatte .evt med .evtx - den XML-baserade Windows Event Log - med början i Windows Vista och Server 2008 år 2007. Moderna Windows Event Viewer kan öppna .evt-filer i kompatibilitetsläge. Den fullständiga binära layouten finns dokumenterad i Microsofts [MS-EVEN]-protokollspecifikation på Microsoft Learn.
Säkerhet & trygghet
RISK: LOWEVT-filer innehåller loggdata, inte exekverbart innehåll. Händelsesträngar kan dock innehålla data som kontrolleras av en angripare (t.ex. injicerat via loggförgiftning); analytiker bör behandla innehållssträngar som opålitlig indata vid parsning. Inom forensik är loggmanipulering (radering eller trunkering av EVT-filer) i sig en indikator på intrång - kontrollera Security-loggen för Event ID 517/1102 (granskningslogg rensad).
Formatdetaljer
i ett nötskalProgram som öppnar EVT-filer
Windows4 apps
Windows Event Viewer
Inbyggd Öppna eventvwr.msc, sedan Action > Open Saved Log, navigera till .evt-filen.
Microsoft Log Parser 2.2
Gratis Använd kommando: LogParser.exe „SELECT * FROM file.evt” -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Gratis EVTXECmd.exe -f file.evt --csv output\ - exporterar till CSV/JSON för analys. 
Linux1 app
Tekniska detaljer
djup specifikation| Filtyp | Binär strukturerad händelselogg (legacy Windows) |
| Utvecklare | Microsoft Corporation |
| Kodning | Binär, little-endian |
| Strängkodning | UTF-16 LE (händelsemeddelandesträngar) |
| Filsignatur (header) | LfLe (hex 4C 66 4C 65) vid offset 0; huvudet är 48 byte |
| Postsignatur | 0x654C664C (eLfL) i början av varje EVENTLOGRECORD |
| Poststruktur | EVENTLOGRECORD med variabel längd; totallängd upprepas i slutet för dubbelriktad genomgång |
| Buffertmodell | Cirkulär - skriver över äldsta poster eller stoppar när maxstorlek nås (konfigurerbart via policy) |
| Standard maximal filstorlek | 512 KB (konfigurerbart av administratör) |
| Utfyllnad av oanvänt utrymme | 0x00000027 sentinel-värde |
| Loggkanaler | System, Application, Security (tre inbyggda loggar) |
| Operativsystem som stöds | Windows NT 3.1 till och med Windows XP och Windows Server 2003 |
| Ersatt av | .evtx (Windows XML Event Log), introducerad i Windows Vista / Server 2008 (2007) |
| Formatdokumentation | [MS-EVEN]-protokollspecifikation (Microsoft Learn) |
| Modern kompatibilitet | Windows Event Viewer öppnar .evt-filer i kompatibilitetsläge på Vista och senare |
| Släppt | 1993 (Windows NT 3.1) |
| Senaste version | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Specifikation | learn.microsoft.com |
EVT-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om EVT-filer.
