如何查看操作时间及操作信息

显示全部楼层 · 发表于 2013-8-2 10:01:03

最近，有人恶意地删除了我电脑里的重要文件，但是我却查不到他的操作信息。于是有人提醒我说如果从PE进入系统的话，是查不到相关信息的。我现在就想请教各位大侠两个问题：
1、PE进入系统，是不是可以绕过开机密码？因为我设置了两个密码，开机密码和系统密码，两个密码还都不一样
2、PE进入系统，如何查看她的操作信息？只有确定他的操作时间，才能确定是谁干的。但问了好几个高手，都说无法查，难道真没有办法了吗

显示全部楼层 · 发表于 2013-8-2 10:14:46

1.你指BIOS里的密码?绕不过去的,系统密码可在PE上和谐掉.
2.你可以试试在你的系统(不是PE)下运行lastactivityview.

显示全部楼层 · 发表于 2013-8-2 10:20:39

也就说她必须知道我的开机密码才行，对吧？因为我现在开机密码都正常，没有被删除
lastactivityview，我查了下，是一个查看电脑使用记录的软件，我试试看有没有用，先谢谢Raid

显示全部楼层 · 发表于 2013-8-2 10:27:24

sandyghl 发表于 2013-8-2 10:20
也就说她必须知道我的开机密码才行，对吧？因为我现在开机密码都正常，没有被删除
lastactivityview，我查 ...

是的,BIOS密码无法绕过,除非你想办法清除

显示全部楼层 · 发表于 2013-8-2 10:33:22

我现在通过c:\windows\SchedLgU.txt查看操作时间，都没有任何问题，查不到非法进入的时间。不知道这个lastactivityview软件可不可以，希望能起到作用

显示全部楼层 · 发表于 2013-8-2 13:36:38

本帖最后由 100lj 于 2013-8-2 13:40 编辑

1、PE进入系统，不需要知道你的开机密码和系统密码，它进入的是PE系统，不是你的系统。而且现在一般的PE中都有破解系统密码的工具。
2、PE进入系统，是在内存中运行的，重启就没有了。如果删除了你的文件，应该可以在系统事件中有记录。

显示全部楼层 · 发表于 2013-8-2 13:43:49

100lj 发表于 2013-8-2 13:36
1、PE进入系统，不需要知道你的开机密码和系统密码，它进入的是PE系统，不是你的系统。而且现在一般的PE中都 ...

删除文件要有记录必须在事件日志里面启用此项操作的审核，但是这样会严重增加日志文件的大小，很累的，因为全局的因素。而且，我还不知道可以不可以呢。

至于什么时候登陆的，系统自己倒是默认记录了，就在安全审核那里，找找相近时间的有没有事件日志。

显示全部楼层 · 发表于 2013-8-2 16:12:23

如果从PE进去删除的，找出的可能性基本无望。

显示全部楼层 · 发表于 2013-8-5 08:41:40

100lj 发表于 2013-8-2 13:36
1、PE进入系统，不需要知道你的开机密码和系统密码，它进入的是PE系统，不是你的系统。而且现在一般的PE中都 ...

请教“系统事件”该如何查看呢？抱歉，是个菜鸟

显示全部楼层 · 发表于 2013-8-5 08:59:36

上网搜了一下，改天去试试
因为电脑在办公室，现在人受伤只能呆在家，所以大侠们提供的方法暂时还没有办法去尝试，不过还是希望大侠们多提供点建议，谢谢了

[系统] 如何查看操作时间及操作信息

评分

评分