Newsgroup: it.comp.os.win.xp
Titolo: Log di avvio

Per necessita` lavorative ho bisogno di sapere quando un pc e` stato
acceso. E` possibile ottenere tale informazione? Da quello che ho visto
nel log degli eventi, ci sono un sacco di notifiche di servizi che si
stanno avviando, ma nessuna specifica ad individuare se il pc e` stato
avviato o meno
Enrico

 acceso. 
Installa uptime.exe di Microsoft, funziona da NT4 a Vista:
http://support.microsoft.com/kb/q232243/
uptime /?  per le opzioni da passargli via riga di comando.
-- 
Ciao, Guglielmo.

*Enrico 'Henryx' Bianchi*:

Visualizzatore Eventi (eventvwr.msc) - Sistema -  eventlog.
6006: -Registro eventi è stato arrestato
6005:-Registro eventi è stato avviato
This event is written at system startup after the user initiates an 
expected restart or shutdown by clicking Start or pressing 
CTRL+ALT+DELETE, and then clicking Shut Down.
6009: -Microsoft (R) Windows (R) 5.01. 2600 Service Pack 3 Uniprocessor 
Free.

 6009: -Microsoft (R) Windows (R) 5.01. 2600 Service Pack 3 Uniprocessor Free.
Product: Windows Operating System
ID: 6009
Source: EventLog
Version: 5.2
Symbolic Name: EVENT_EventLogProductInfo
Message: Microsoft (R) Windows (R) %1 %2 %3 %4.
Explanation
The user restarted or shut down the computer by clicking Start or 
pressing CTRL+ALT+DELETE, and then clicking Shut Down. The message 
displays the Windows product information for the computer logging the 
message, including the product name, version, build number, service 
pack number, and operating system type.

 ha scritto nel 
messaggio news:gpc8kk$3sv$1...@abraham.hellfish.home...

se ci sono tracce nel registro eventi vuol dire che č stato acceso ed il 
sistema ha eseguito il boot
guardi la data e l'ora per individuare il momento dell'accensione 
secondo piů secondo meno
-- 
http://altagradazione.blogspot.com/

 quando chiudo Win Xp e poi riaccendo il PC
Mmm... quindi non e` possibile riavviare il servizio "Registro eventi"
manualmente? Fondamentalmente e` questo che mi interessa, devo
dimostrare che il pc ad una determinata ora del giorno era spento e per
farlo devo essere il piu` preciso possibile
Enrico

Enrico 'Henryx' Bianchi ha scritto:

Ok, non è il massimo per certificare incontrovertibilmente l'accensione 
e/o lo spegnimento di un pc (spero che nella pratica forense si usino 
altri strumenti!), però da quel poco che so:
ID 6009: Clean Boot (o ultimo reboot);
ID 6006: Clean Stop (Shutdown);
ID 6008: Dirty Shutdown.
Incrociando i gli orari e data di accensione (6009) con quelli di 
spegnimento (6006), si dovrebbe riuscire ad ottenere il "tempo di 
funzionamento". E se a questi dati si associano quelli dell'utility MS 
"uptime.exe", si dovrebbe essere ancora più precisi.

 dovrebbe essere ancora più precisi.
Se intuisco bene dalle sue parole, Henryx deve indagare su un episodio 
passato basandosi sulle evidenze disponibili, quindi (se ho ben capito) 
non dispone dei dati di uptime.exe se al momento non era attivo.
Anyway, a sua volta, su cosa si basa uptime.exe?


questa mattina acceso il pc e trovato protetto da password ed ho trovato questi eventi: 
6006 
6009 
6005 
7026 
7036 
7035 
7036 
7036 
6006 
dalle 10.32.51  alle 10.33.14  del 5 gennaio (ero in ferie) ci sarà stato un tentativo di inserimento password?


