Powershell get-winevent filterxpath wildcard

Question

我正在尝试查询DNS日志以查看哪台本地计算机请求了包含 38.93.53.202-in-addr.arpa-nettlinx.com 的网站地址。我不知道这将在日志中采用什么形式，使用事件日志进行过滤让我无处可去(太慢)。

我想Powershell可以帮助我解决这个问题！我已经导出了日志，以便我可以在日常工作时留下一个备用系统来解析它。

到目前为止，我已经找到了一个几乎可以做我想做的事的脚本。我使用日志中的顶级条目之一选择了我的测试：

<EventData>
<Data Name="TCP">0</Data> 
<Data Name="InterfaceIP">192.168.1.1</Data> 
<Data Name="Destination">192.168.1.2</Data>
<Data Name="QNAME">rss.weather.com.</Data>

我发现几乎有效的代码是：

Get-WinEvent -Path 'C:usersuserdesktopevtlog.evtx' -FilterXPath "*[EventData[ Data[@Name='qname']='rss.weather.com.']]"

现在，我希望能够使用通配符，而不是"rss.weather.com."。例如，">天气"。但是，据我所知，filterxpath 标志不允许这样做。

我尝试添加我在互联网上看到的最常见的条目：

contains(.,'weather')

以及

contains(text(),'weather')

我几乎在代码的每个部分都尝试过这个，有括号，没有括号，有等号，没有，在数据[]内......我实际上已经用尽了我能想到或找到XML解析语言引用的所有可能性。

有没有办法执行我正在尝试的查询类型？我正在尝试找到一种方法来执行此预管道，因为日志的大小相当吓人。

编辑：这是我能想到的大多数迭代，我尝试过：

# Try 1
# "*[EventData[Data[@Name='qname' and contains(text(), 'weather')]]]"
# Try 2
# "*[EventData[ Data[@Name='qname'] contains(.,'weather')]]"
# Try 3
# "*[EventData[ Data[contains(.,'weather')]]]"
# Try 4
# "*[EventData[ Data[@Name='qname']=*[contains(.,'weather')]]]"
# Try 5
# "*[EventData[ Data[@Name='qname']=*contains(.,'weather')]]"
# Try 6
# "*[EventData[ Data[@Name='qname']=contains(.,'weather')]]"
# Try 7
# "*[EventData[ Data[@Name='qname']=[contains(.,'weather')]]]"
# Try 8
# "*[EventData[ contains(.,'weather') ]]"
# Try 9
# "*[EventData[ Data[@Name='qname'] like 'rss.weather.com.']]"
# Try 10
# "*[EventData[Data[@Name='QNAME']=*[contains(.,'rss.weather.com.')]]]"
# Try 11
# "*[EventData[ Data[@Name='qname']=*'weather.com.']]"
# Try 12
# "*[EventData[ Data[@Name='qname']=*['weather.com.']]]"
# Try 13
# "*[EventData[ Data[@Name='qname'] contains(.,'weather')]]"
# Try 14
# "*[EventData[ Data[@Name='qname'] [contains(.,'weather')]]]"

Answer 1

我碰巧最近参加了Powershell上的课程，并且能够通过电子邮件向我的教师发送同样的问题。他回答说，我的脚本不起作用的原因是 xpath 不接受非标记值的通配符。

例如，如果 XML 行为：

<Data Name="InterfaceIP">192.168.1.1</Data>

然后我可以对data name = *face*进行通配符搜索，但我不能对<>之外的内容进行通配符搜索。

谢谢大家的帮助！