WINDOWS *** 作系统非法关机如何通过系统日志查看？

事件查看器相当于 *** 作系统的保健医生，查看应用程序、安全性和系统日志，查看是否存在非法登录、系统是否非正常关机、程序执行错误等信息，通过查看事件属性来判定错误产生的来源和解决方法，使 *** 作系统和应用程序正常工作。本文介绍了事件查看器的一些相关知识，最后给出了一个安全维护实例，对安全维护人员维护系统有一定的借鉴和参考。
(一)事件查看器相关知识
1事件查看器
事件查看器是 Microsoft Windows *** 作系统工具，事件查看器相当于一本厚厚的系统日志，可以查看关于硬件、软件和系统问题的信息，也可以监视Windows *** 作系统中的安全事件。有三种方式来打开事件查看器：
(1)单击“开始”-“设置”-“控制面板”-“管理工具”-“事件查看器”，开事件查看器窗口
(2)在“运行”对话框中手工键入“%SystemRoot%\system32\eventvwrmsc /s”打开事件查看器窗口。
(3)在运行中直接输入“eventvwr”或者“eventvwrmsc”直接打开事件查看器。
2事件查看器中记录的日志类型
在事件查看器中一共记录三种类型的日志，即：
(1)应用程序日志
包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。
(2)安全性日志
记录了诸如有效和无效的登录尝试等事件，以及与资源使用相关的事件，例如创建、打开或删除文件或其他对象，系统管理员可以指定在安全性日志中记录什么事件。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
(3)系统日志
包含Windows XP的系统组件记录的事件，例如在启动过程中加载驱动程序或其他系统组件失败将记录在系统日志中，默认情况下Windows会将系统事件记录到系统日志之中。 如果计算机被配置为域控制器，那么还将包括目录服务日志、文件复制服务日志;如果机子被配置为域名系统(DNS)服务器，那么还将记录DNS服务器日志。当启动Windows时，“事件日志”服务(EventLog)会自动启动，所有用户都可以查看应用程序和系统日志，但只有管理员才能访问安全性日志。
在事件查看器中主要记录五种事件，事件查看器屏幕左侧的图标描述了 Windows *** 作系统对事件的分类。事件查看器显示如下类型的事件：
(1)错误：重大问题，例如数据丢失或功能损失。例如，如果服务在启动期间无法加载，便会记录一个错误。
(2)警告：不一定重要的事件也能指出潜在的问题。例如，如果磁盘空间低，便会记录一个警告。
(3) 信息：描述应用程序、驱动程序或服务是否 *** 作成功的事件。例如，如果网络驱动程序成功加载，便会记录一个信息事件。
(4)成功审核：接受审核且取得成功的安全访问尝试。例如，用户对系统的成功登录尝试将作为一个“成功审核”事件被记录下来。
(5)失败审核：接受审核且未成功的安全访问尝试。例如，如果用户试图访问网络驱动器但未成功，该尝试将作为“失败审核”被记录下来。
(二)维护服务器安全实例
1打开并查看事件查看器中的三类日志
在“运行”中输入“eventvwrmsc”直接打开事件查看器，在该窗口中单击“系统”，单击窗口右边的类型进行排序，可以看到类型中有警告、错误等多条信息。
2查看系统错误记录详细信息
选择“错误”记录，双击即可打开并查看事件的属性，如图2所示，可以发现该事件为一个攻击事件，其事件描述为：
连接自 211992269 的一个匿名会话尝试在此计算机上打开一个 LSA 策略句柄。尝试被以 STATUS_ACCESS_DENIED 拒绝， 以防止将安全敏感的信息泄露给匿名呼叫者。
进行此尝试的应用程序需要被更正。请与应用程序供应商联系。 作为暂时的解决办法，此安全措施可以通过设置： \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymousBlock DWORD 值为 1 来禁用。 此消息将一天最多记录一次。
说明：该描述信息表明IP地址为“211992269”的计算机在攻击此服务器。
3根据提示修补系统漏洞
根据描述信息，直接打开注册表编辑器，依次层层展开找到键值“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymous”新建一个DWORD 的 “TurnOffAnonymousBlock Block DWORD” 键，并设置其值为“ 1”，。
说明：如果在事件属性中未给出解决方案，除了在google中寻找解决方法外，还可以对错误信息进行追踪，以找到合适的解决方法，一般有两种方式：
(1)微软知识库。微软知识库的文章是由微软公司官方资料和微软MVP撰写的技术文章组成，主要解决微软产品的问题及故障。当微软每一个产品的Bug和容易出错的应用点被发现后，都将有与其对应的KB文章分析这项错误的解决方案。微软知识库的地址是:>是定时关机还是怎样的？描述清楚才好解决。
sudo crontab -e里看看有没有关机的代码，/etc/crond里看看有没有跟关机有关的，
看看/var/log/authlog里有没有关机相关的日志，/var/log下有很多日志，仔细看看吧。

在麒麟服务系统中，您可以通过以下步骤查看开关机时间：
1 打开麒麟服务系统，登录管理员账号。
2 在左侧导航栏中选择“系统状态”。
3 在“系统状态”页面中，可以查看服务器的各项信息，包括开关机时间。
4 在“系统状态”页面中，找到“服务器状态”一栏，可以看到服务器的“运行时间”、“最后启动时间”和“最后关机时间”等信息。
通过上述步骤，您可以轻松地查看麒麟服务系统的开关机时间。

x86服务器异常关机的EventID是6008、6009和1074。
EventID 6008指的是系统在非法的情况下突然关闭，一般是由于 *** 作系统内部的错误导致的，该EventID表明 *** 作系统未正确关闭。
EventID 6009指的是系统在预期中突然关闭，一般是由于硬件出现了故障而导致的，EventID 6009表明可以记录 *** 作系统是正常关闭的。
EventID 1074指的是用户通过关机指令从系统中注销的情况，该EventID表明是系统被正常关闭的情况，用户可以点选“注销” *** 作来实现。
查看x86服务器的事件日志中可以更深入的了解异常关机的具体原因。如果是由于硬件故障导致的异常关机，用户可以考虑更换服务器的硬件，以保证服务器的正常运行。如果是由于 *** 作系统内部出现错误引起的异常关机，则可以尝试重新安装 *** 作系统，以确保系统内部没有BUG或其他异常。此外，用户也可以在x86服务器上运行一些优化程序，以确保服务器的运行效率达到最佳。

您好，很高兴为您解答。
关机代码为“slidetoshutdown”。
创建关机文件：
1、首先在桌面上创建一个记事本；
2、在记事本中填入关机代码slidetoshutdown；
3、保存退出，修改记事本后缀为bat；
注意：如果不能修改后缀，只能修改文件名，打开一个文件夹，win7系统打开“文件与搜索选项”，打开“查看”标签卡，勾选“隐藏已知文件类型的扩展名”，点击确定。
win10系统点击上图方框内的“查看”按钮，找到文件拓展名，并选中即可。

原因：跟SELinux有关
解决方法：关闭SELinux
查看SELinux状态：/usr/sbin/sestatus -v #如果SELinux status参数为enabled即为开启状态
方法一：临时关闭（不用重启机器）
setenforce 0 #设置SELinux 成为permissive模式
#setenforce 1 设置SELinux 成为enforcing模式
方法二：修改配置文件需要重启机器
修改/etc/selinux/config 文件
将SELINUX=enforcing改为SELINUX=disabled
重启机器即可

如何通过运营商查询手机关机时间您好亲，首先进入设置。进入设置后下拉。找到关于手机选项。找到状态信息。如何查看手机上次关机时间。可以看到已开机时间，倒推一下，就能推测出上次关机的时间。希望可以帮到您哦。

---