РЕКОМЕНДУЕМЫЙ МЕТОД РЕДАКТИРОВАНИЯ (пожалуйста, опишите Сьюзен Кэннон ниже)
Нажмите Windowsкнопку + Rи введите eventvwr.msc.
В окне просмотра событий разверните Журналы Windows и выберите Система.
В середине вы увидите список с датой и временем, источником, идентификатором события и категорией задачи. Категория задач в значительной степени объясняет событие, вход в систему, специальный вход, выход из системы и другие детали.
События будут называться Winlogon , с идентификатором события 7001 .
Сведения о событии будут содержать входящий в систему UserSid учетной записи, который можно сопоставить со списком, полученным из командной строки с помощью:
wmic useraccount
Надеюсь это поможет!
Чтобы увидеть список, запустите «PowerShell» и вставьте следующий скрипт в его окно:
Get-EventLog system -Source Microsoft-Windows-Winlogon `
| ? { $_.InstanceId -eq 7001 } `
| ? {
$sid = $_.ReplacementStrings[1]
$objSID = New-Object System.Security.Principal.SecurityIdentifier ($sid)
$objUser = $objSID.Translate( [System.Security.Principal.NTAccount])
$_ | Add-Member -Force -type NoteProperty -name User -value $objUser.Value
return $true
} `
| ft -Property TimeGenerated,User
У вас будет куча системных логинов; они нормальные.
Что вы будете искать:
Event ID 7001 - Winlogon.
На вкладке Сведения найдите UserSid
Указание логина будет выглядеть следующим образом: (win 8.1) Это, вероятно, будет отличаться в win 7
+ System
- EventData
TSId 1
User Sid A-2-8-46-234435-6527-754372-3445
Затем откройте командную строку, нажав правую кнопку «Пуск» и выбрав ее.
Введите «wmic useraccount» и сопоставьте SID с предыдущим именем пользователя в длинном списке, который появится.
C:\Users\Superuser>wmic useraccount
AccountType Caption Description Disabled Domain FullName InstallDate
LocalAccount Lockout Name PasswordChangeable PasswordExpires
PasswordRequired SID SIDType Status
512 ComputerName\Administrator Built-in account for administering the
computer/domain TRUE ComputerName TRUE FALSE Administrator TRUE
FALSE TRUE A-2-8-46-234435-6527-754372-3447 1 Degraded
512 ComputerName\Superuser TRUE ComputerName TRUE FALSE Superuser TRUE
FALSE TRUE **A-2-8-46-234435-6527-754372-3445** 1 Degraded
Из списка видно, что Superuser - это учетная запись, соответствующая SID.