CVE-2020-1472 事件读取器 v1.1 2020/8/27

此脚本将：

1. 扫描输入文件夹中的系统 evtx，查找事件 5827、5828、5829、5830 和 5831，精确数据字段，导出到 582#-*.CSV。

2. 调用 Excel 导入生成的 582#-.CSV，为常见的安全 RPC 分析场景创建数据透视表。之后删除 582#-.CSV。

随意修改以符合你的需求。

脚本会尽力匹配以帮助管理员，请随意修改。

脚本需要 Excel 2013 或更高版本。

64 位 Excel 可允许创建更大的数据导入到 XLS。

使用脚本方法：

1. 将系统日志另存为 system.evtx 文件。

2. 按照屏幕提示输入包含 *.evtx 和最终 xlsx 的路径。

更多信息 https://support.microsoft.com/en-us/kb/4557222

变更日志 > 1.1

将 Get-WinEvent 切换为 FilterXPath 以加快搜索速度

为 LookbackDays 添加脚本配置项，用于在脚本中安排进度审查

在 Excel 数据透视表中添加 %GrandTotal，以帮助设置优先级。

添加了用于启用/禁用 ColorScale 和 DataBar 的脚本配置项

添加了 $mcLookbackDays、$mcScriptPrompts、$mcServerEvents 和 $mcEvtPath，用于远程部署以将数据发送回中央共享。

脚本变量块，请根据需要进行修改

$mcStartTime = '2020/05/10 06:06' # 开始搜索 5827-5831 的时间戳，格式为 'yyyy/MM/dd HH:mm'，其中下午1点为 13，例如：'2020/05/26 13:06' 将列出从 2020/05/26 下午1:06 开始的事件，用它来衡量进度。 $mcLookbackDays = 0 # 当设置为 0 时，脚本将使用 $mcStartTime。当设置为正数时，脚本将开始搜索最近 x 天的事件。例如：1 将搜索最近 24 小时的事件。 $mcScriptPrompts = $true # 脚本默认值，$false 表示非交互模式，适用于计划任务或右键使用 Powershell 运行。 $mcCSVImport = $true # 设置为 $false 仅生成 Evtx，用于从服务器的事件服务保存 Evtx。 $mcServerEvents = $false # 从本地服务器 (LocalHost) 生成相关事件，旨在生成较小的 EVTX 和 CSV 以供后续（在另一台机器上）处理，而非整个 EVTX（与 $mcCSVImport 组合使用时） $mcEvtPath = "" # 当 $mcScriptPrompts=false 时的默认报告路径，设置为 "" 表示脚本路径。 #性能相关配置项 $mcMaxThreads = 4 # 最大并发 Evtx 到 CSV 导出线程（作业）数，数量过大会遇到文件/IO 瓶颈，因为所有文件都在一个目录中。 $mcMaxExport = 1000 # 每个 EVTX 最多导出 1000 个事件，如果遇到 Excel 内存错误（或只需要前几个 evt 作为样本），请修改此值。 $mcMaxImport = 1000 # 最多导入 1000 个事件到 Excel，##注意##：一旦达到上限，Excel 将完成当前导入文件并停止后续导入，由于导入是单线程的，如果设置过大，导入可能需要很长时间。 $mcColorScale = $true # 设置为 false 可禁用列 ColorScale = 加快 Excel 导入速度并减少内存需求 $mcDataBar = $true # 设置为 false 可禁用列 DataBar = 加快 Excel 导入速度并减少内存需求（注意：导入时 DataBar 与 ColorScale 相比有些问题，如有需要最好之后手动执行。）

#--远程 Evtx 收集的默认值-------------------------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcCSVImport = $false

$mcServerEvents = $true

#--本地非交互式报告生成的默认值。--------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcServerEvents = $false

$mcCSVImport = $true