异常事件.使用Pywin32中的win32evtlog的Python中的EventID编号，如-2147481364

Question

我写了一个python(3.2)脚本，在Windows 2008服务器上的事件日志中禁止某些事件的ips，我试图测试它是否会正确地禁止sql暴力强制尝试中的ips。不幸的是，到目前为止，它还没有到达代码的这一部分，因为它要查找的事件ID从未出现(尽管它应该在日志文件中)。

def run_script_application_log():
eventIds = [18456] #look for these events to process for possible ip bans 18456 = failed login
server = 'localhost' # name of the target computer to get event logs from
logtype = 'Application' # 'Application' or 'Security' etc...
hand = win32evtlog.OpenEventLog(server,logtype)
ipsToBan = look_for_ips_to_ban(hand,flags,eventIds)
def look_for_ips_to_ban(hand, flag, eventIds):
...some code....
events=1
while events:
events=win32evtlog.ReadEventLog(hand,flag,0)
for event in events:
the_time=event.TimeGenerated.Format()
seconds=date2sec(the_time)
#if seconds < begin_sec - time_in_seconds: break
if event.EventID in eventIds:

我插入了一个简单的打印声明，看看事件发生了什么。EventID和它获得的数字至少可以说是奇怪的。事件日志最高可达33090，但返回的绝大多数ID与以下类似：10737500201073754112-1073741823-2147481364

我不知道发生了什么。它可以与安全日志配合使用，但应用程序日志似乎是不可行的。

我浏览了一些数据，除了事件ID之外，所有数据似乎都报告正确。

例如，日志中的这条记录都是正确的，只是它将事件ID显示为1073742726而不是18456。

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="MSSQLSERVER" /> 
<EventID Qualifiers="49152">18456</EventID> 
<Level>0</Level> 
<Task>4</Task> 
<Keywords>0x90000000000000</Keywords> 
<TimeCreated SystemTime="2012-12-08T18:01:32.000000000Z" /> 
<EventRecordID>4532</EventRecordID> 
<Channel>Application</Channel> 
<Computer>windowsmachine</Computer> 
<Security /> 
</System>
<EventData>
<Data>username</Data> 
<Data>Reason: Password did not match that for the login provided.</Data> 
<Data>[CLIENT: <local machine>]</Data
<Binary>184800000E0000000A000000570049004E004D00430041005000460058000000070000006D00610073007400650072000000</Binary> 
</EventData>
</Event>

Answer 1

如果你检查它的二进制函数，它会很好地工作，它只添加了一个你不需要的比特(或者更多，没有真正检查它)。试着把答案像这样通过"AND"：

answer=事件。EventID&0x1FFFFFFF