Как удалить событие в журнале событий в WinXP?

[WERVOOLF]

dea11, Ну и вопросики у Вас!!! По характеру Ваших действий могу сказать только одно, что спрятаться Вы хотите от админа, при чём по квалификации явно не среднего уровня. И были Вы явно не на простой машине, потому как в ясном уме и здравой памяти, ни кому это и в голову не придёт, заниматься цифровой подписью и отслеживанием контрольных сумм. Так глубоко - не копал никогда. Из мыслей только одна - съимитировать критический сбой системы с перезагрузкой... (желательно по причине скачка питания. У нас на серваке такая статистика ведёться и шеф постоянно материться, но дальше просмотра этой записи - не лазит.)

[zett]

Вы хотите избежать контроля, но боюсь как бы вам косяков не наделать. И у меня в голове не укладывается следующее: один раз открыть документ, а затем целый день удалять следы. Вы знаете, что в реестре все ваши манипуляции фиксируются в Cache? Это тоже нужно чистить или отключать. Как я уже выше приводил, достаточно установить ShadowUser Pro Edition, настроить ее и безбоязно вытворять все что хотите.
По поводу этой темы вы затронули программирование в Windows. Во-первых, здесь вы не получите исчерпывающую информацию; во-вторых, вопрос: на каком этапе вы получите полный ответ? Лог вы править научились, теперь контрольная сумма и цифровая подпись. Дальше что, хеши, хендлы, пакеры, отладчики, языки высокого уровня..... Это все похвально, но данный аспект мне интересен, когда затрагивает мое личное эго. Вот вам два адреса, где вы можете найти ответы на все ваши вопросы:

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

и

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

. Сайты чистые. По последней ссылке 4 года заказываю диски и отвечаю за порядочность хозяина сайта.
P.S. Если вы внимательно читали статью, то там есть такая ссылка: ......Несмотря на кажущуюся простоту описанного способа иногда манипуляции с логами не имеют большого смысла, а, скорее, напоминают борьбу с симптомами заболевания, вместо выяснения и удаления причины болезни.....
......Многие записи в журналы событий вносятся благодаря настройкам параметров локальной политики. Изменение локальной политики есть не что иное, как редактирование реестра в комфортной обстановке, то есть через консоль ММС ( Windows Management Instrumentation - программный интерфейс управления системой).......
Удачи.

[WERVOOLF]

Уважаемый zett,! Прошу прощения, но зачем удалять????? Весь смысл разговора заключался в удалении одной или двух записей. Так? Но мы с самого начала скорее всего пошли не той дорогой. Вместо того, что бы удалять, почему бы не преобразовать эти записи? Ну скажем было посещение машины №1 в папку "Счёт" откуда удалён документ такой то. Пользователем таким то. Почему бы не преобразвать это событие в открытие документа в этой папке, в это время произошёл сбой системы, в результате которого был потерен документ. С одной стороны это ни чего не меняет, но с другой стороны действия могут быть уже квалифицированы как халатность, а не злой умысел. А то что там UPS не выдержал, так это не удивительно. Даже дорогие модели не все выдерживают пульсацию в сети. У меня по этой причине в прошлом году сгорела сначала защита в мониторе, а буквально через месяц и системник гавкнулся.

[zett]

Если честно, то я плохо представляю о каких документах идет речь, что за событие связано с этим и о чем вообще речь. Я понял лишь, что нужно удалить из журнала что-то.

Сообщение от WERVOOLF

...Почему бы не преобразвать это событие в открытие документа в этой папке, в это время произошёл сбой системы, в результате которого был потерен документ...

Не понимаю, как в результате сбоя произойдет потеря документа и почему в системе это не зафиксируется. Возможно в FAT и можно как то похерить, но в NTFS....

Сообщение от dea11

...Вся загвоздка в том, что на выходе мне нужно получить двоичный файл .evt с удаленными несколькими записями. или из уже имеющегося файла .evt каким то образом удалить информацию о нескольких записях....

В каком именно: AppEvent.Evt, SecEvent.evt или SysEvent.Evt

[WERVOOLF]

zett, - не надо так всё буквально понимать. Это пример был. Я к чему веду - не удалять запись а изменить сообщение в журнале, скажем на сообщение о системном сбое. А уж что там в этот момент произошло и кто чем занимался - ни кто ни когда не выяснит. И искать то будут совершенно в противоположном направлении.

[zett]

Завели вы меня братцы. Я уже установил консоль PowerShell, собрался вступить в игру, но dea11 потерялся. Без нужной инфы я умываю руки.

а если использовать Event Log Explorer там есть всекие экспорты импорты???

[WERVOOLF]

bossco, - Да чёрт его знает что там есть, а чего нету. Енту софтину сначала поймать надо, а потом собственными ручками поковырять - вот тогда на 100 процентов будешь уверен.

Скрытый текст (вы должны войти под своим логином или зарегистрироваться и иметь 1 сообщение(ий)):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

Программа бесплатна для персонального некоммерческого использования.

Кроме того, в ней присутствует расширенная справочная система, где подробно расписаны все функции программы и элементы окна.
В утилите есть возможность экспорта log-файлов в HTML и текстовый форматы.

А вот импорт наврядли. Я сам то ей не пользуюсь. Потому как полностью поддерживаю нашего мудрого zett,

......Несмотря на кажущуюся простоту описанного способа иногда манипуляции с логами не имеют большого смысла, а, скорее, напоминают борьбу с симптомами заболевания, вместо выяснения и удаления причины болезни.....
......Многие записи в журналы событий вносятся благодаря настройкам параметров локальной политики. Изменение локальной политики есть не что иное, как редактирование реестра в комфортной обстановке, то есть через консоль ММС ( Windows Management Instrumentation - программный интерфейс управления системой).......

да чего я буду тут флуд разводить - Ковыряйте её сами

[voven57]

Очень нужно удалить несколько записей событий из журнала событий WinXP.Как это сделать?

почитать эту тему. А вообще,- тут по видео в основном, а не по хаку..

[Шайтан]

Добрый день ВСЕМ!!! Мне сказали ,что правильное удаление Pinnacle Studio влияет на вновь перестановленный. Поэтому необходимо удалить все фалы старого Pinnacle Studio. Я это вчера и проделал. Но всё же нашел ещё файлы , которые не удаляются. Они стоят на локальном диске "С", Program Files - Pinnacle - Shared Files( Filter, Programs,и т.д.) Studio14( Plugins-RTFx-KnolleZSE, MBLookse,RGToonItSE,и т.д.) Надо их удалять или они не повлияют на вновь устанавливаемую Pinnacle Studio. Заранее спасибо.