Чем осуществить парсинг текста в powershell?

Question

[Enlighted_one]

Хотел написать короткий скрипт по подсчёту времени проведённому пользователем за компьютером.

$ti = Get-Date -Format "dd mm yyyy"
Get-Eventlog -logname Security -After $ti -InstanceId 4624 | Format-List

Получаю список всех логинов, однако не в строчном а в текстовом формате.
Теперь мне нужно найти логин и время в этом тексте.
Каким образом можно отпарсить текст целиком? Или только построчно?
В какую сторону копать?

И дополнительный вопрос, почему powershell так не понимает и обязательно надо вводить промежуточную переменную:
Get-Eventlog -logname Security -After Get-Date -Format "dd mm yyyy" -InstanceId 4624 | Format-List

Comments

[xotkot]

Получаю список всех логинов, однако не в строчном а в текстовом формате.
Теперь мне нужно найти логин и время в этом тексте.
Каким образом можно отпарсить текст целиком? Или только построчно?
В какую сторону копать?

ripgrep

[Enlighted_one]

xotkot, regexp только к строчке же.

[Enlighted_one]

xotkot, Тоесть единственный вариант вывод положить в массив, и построчно перебирать регехспом?

[MaxKozlov]

Enlighted_one, Вот это переведите плз "однако не в строчном а в текстовом формате."
Powershell возвращает объекты, а не строки. Поэтому поиск и тп там намного проще, но пока непонятно чего вы хотите
Приведите пример вывода и что вы хотите из него извлечь. Так будет проще

[Enlighted_one]

MaxKozlov, я хочу в выводе найти логин и время входа.

[MaxKozlov]

Enlighted_one, мне до компа сейчас не дойти, приведите пример. Я вам отвечу как оттуда что достать

Answer 1

[MaxKozlov]

пока отвечу а второй вопрос

Get-Eventlog -logname Security -After Get-Date -Format "dd mm yyyy" -InstanceId 4624 | Format-List

Парсер вас просто не понимает. Возьмите в скобки.

Get-Eventlog -logname Security -After (Get-Date -Format "dd mm yyyy" ) -InstanceId 4624 | Format-List

И формат лишний-там тип datetime, а не строка

Get-Eventlog -logname Security -After (Get-Date).Date -InstanceId 4624 | Format-List

Если вы хотите дальше как-то выбирать или сортировать - уберите format-list. Это уже вывод на консоль, с которым дальше делать что-то сложно

Теперь первый вопрос.

Имя логина содержится в ReplacementStrings[5]
Поиск и фильтрация осуществляется примерно так

Get-Eventlog -logname Security -After (Get-Date).Date -InstanceId 4624 | Where-Object { $_.ReplacementStrings[5] -match 'pupkin' -and $_.TimeGenerated -lt '2022-05-05 11:00'}

можно группировать по логину

Get-Eventlog -logname Security -After (Get-Date).Date -InstanceId 4624 | Group-Object { $_.ReplacementStrings[5] }

Пример выборки полей

Get-Eventlog -logname Security -After (Get-Date).Date -InstanceId 4624 | Select-Object @{n='Username'; e={$_.ReplacementStrings[5]}}, TimeGenerated

Comments

[Enlighted_one]

Благодарю задача решена. Это то что мне нужно было.

[Enlighted_one]

Можно ещё вопрос. Где взять описание оператора ReplacementStrings. В PS ISE ничего не нашёл по этому поводу.

[MaxKozlov]

Enlighted_one, В доках по соответствующим EventId,
Например
https://docs.microsoft.com/ru-ru/windows/security/...
поле Xml - EventData

Только это не оператор, а свойство, массив

[Enlighted_one]

Откуда там взялось TimeGenerated, если в представлении Out-GridView, поле со временем просто называется: Time
И откуда поле ReplacmentString, если там есть поле message?

[Enlighted_one]

Даже в представлении XML таких слов нет: ReplacementStrings и TimeGenerated

[Enlighted_one]

MaxKozlov, на этой странице нет ни ReplacementStrings, ни TimeGenerated.
Я их вижу когда табом перебираю -Properties. Но в XML их нет и в Out-GridView их тоже нет.

[MaxKozlov]

Enlighted_one, То что поля в разных языках могут иметь разные названия это нормально :)

И я написал

поле Xml - EventData

Вот в объекте, который возвращает Powershell - это и есть ReplacementStrings
а TimeCreated == TimeGenerated
message в xml нет, оно берётся из ресурсов dll по eventid

[MaxKozlov]

Enlighted_one,

Откуда там взялось TimeGenerated, если в представлении Out-GridView, поле со временем просто называется: Time

А эта хрень происходит оттого что в Powershell есть такая штука как формат вывода. И, с-ка, кому-то пришло в голову, что заголовки в таблице можно переименовать для читаемости.
Чтобы понять, какие там на самом деле есть поля, лучше использовать не таблицу, а список
Format-List * -Force, тогда вы гарантированно увидите всё

[Enlighted_one]

MaxKozlov, О! это то что нужно.
Офигеть. И как простой смертный должен догадаться, о настоящем названии полей объедка. Если везде будут либо переводы, либо псевдонимы. (риторический)

[MaxKozlov]

Enlighted_one, Настоящие джедаи использую Get-Member -InputObject $object :