时间戳

首页 > 解决方案 > Powershell命令在执行时出错

powershell - Powershell命令在执行时出错

问题描述

我正在尝试将 Windows 安全事件从我的转发服务器转发到收集器。因此，我执行了一些配置，并且能够获取除安全事件之外的所有其他 Windows 事件（即系统、应用程序等）。

我收到以下错误：

错误 - 上次重试时间：2020 年 4 月 21 日上午 7:20:07。代码 (0x138C)：Windows 事件转发插件无法从查询中读取任何事件，因为查询没有返回活动通道。请检查查询中的频道并确保它们存在并且您可以访问它们。下次重试时间：4/21/2020 8:20:07 AM。

我查了一下，发现下面的文章：

在 PS 我运行命令：

wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)

但我得到了错误：

At line:1 char:38
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                      ~
Missing closing ')' in expression.
At line:1 char:52
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                                    ~
Unexpected token ')' in expression or statement.
At line:1 char:55
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                                       ~
Missing closing ')' in expression.
At line:1 char:65
+ ... util sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1; ...
+                                                                 ~
Unexpected token ')' in expression or statement.
At line:1 char:68
+ ... il sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;; ...
+                                                                  ~
Missing closing ')' in expression.
At line:1 char:88
+ ... BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1; ...
+                                                                 ~
Unexpected token ')' in expression or statement.
At line:1 char:91
+ ... G:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;; ...
+                                                                  ~
Missing closing ')' in expression.
At line:1 char:107
+ ... ;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)
+                                                                         ~
Unexpected token ')' in expression or statement.
    + CategoryInfo          : ParserError: (:) [], ParentContainsErrorRecordException
    + FullyQualifiedErrorId : MissingEndParenthesisInExpression

我知道它在抱怨什么，但不明白为什么，因为它对我来说看起来不错。有人可以帮忙吗？

标签： powershell

解决方案

PowerShell 将分号解释为语句终止符。为了防止它这样做，请在整个/ca:参数周围加上引号......

wevtutil sl security '/ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'

根据该应用程序解析参数的方式，您也可以只引用参数的值

wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'

推荐阅读