计算机取证：Windows系统开关机日志分析

电子物证

2026年10月16日 00:00
辽宁

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于Cyber取证
，作者零壹

Cyber取证
.

电子数据取证爱好者，聚焦数字证据前沿技术

点击蓝字 关注我们

COMPANY

摘要

Windows系统开关机日志是计算机取证中还原设备运行时间线的关键证据。Win10/Win11 默认启用快速启动（混合休眠），会导致传统6005、6006开关机事件缺失，容易造成时间线误判。

做Windows开关机时间线取证，很多人的第一反应就是查看6005、6006事件：

• Event ID 6005：事件日志服务已启动，代表开机完成
• Event ID 6006：事件日志服务已停止，代表系统关机

这套逻辑在 Windows7 时代完全适用，也是大量取证教程的经典方案。

但到了Win10/Win11，如果你还只依赖这两个事件做分析，得到的时间线很可能是错误、残缺的，甚至直接得出完全相反的结论。

造成取证翻车的罪魁祸首，就是系统默认打开的快速启动（混合休眠）。

本文结合实操，讲解Windows开关机日志分析方法，涵盖日志存储、查看方式、事件ID释义、时间线还原与避坑清单，供电子数据取证工作参考。

01

日志存储位置

LOCATION

Windows事件日志以二进制.evtx格式保存，默认路径：C:\Windows\System32\winevt\Logs

图1  Windows 事件日志存储目录

该目录下每个文件对应一个日志通道，文件名即通道名：

取证提醒：不要只提取System.evtx！开关机分析需要多数据源交叉验证，单一日志通道很容易出现误判。

02

日志查看方式

VIEW

方式1：本机图形界面事件查看器

1. Win+R输入eventvwr.msc打开事件查看器；
2. Windows日志→系统，右侧筛选当前日志，输入ID：6005,6006,6008,27,41,42,107,1074等于开关机相关的事件ID即可查看；（仅填写 ID，无需按时间排序）。

图2  事件查看器日志筛选界面

图3  事件查看器XML视图

取证提醒：不要只看事件“常规”摘要页面，用于定案的事件，务必切换至XML视图读取原始EventData参数，摘要会隐藏很多关键信息，例如启动类型、关机发起账号与进程。

方法2：Event Log Explorer提取开关机日志

1. 打开软件，点击菜单【File】→【Open Log File】，选中本机日志或者从镜像提取出来的System.evtx、Microsoft-Windows-Kernel-Boot%4Operational.evtx等日志文件完成加载；

2. 点击顶部漏斗图标【Filter】打开筛选窗口，在Event ID(s) 栏输入事件ID：6005,6006,6008,27,41,42,107,1074完成筛选。

图4  Event Log Explorer 日志筛选输出效果

版本说明：Event Log Explorer Standard Edition为免费版，支持基本的日志查看、筛选和导出；Forensic Edition为付费版，提供磁盘镜像挂载、损坏日志恢复等取证专用能力。如果只是做开关机日志的筛选分析，免费版足够使用。

方法3：通过介质取证软件进行提取

主流介质取证软件均支持对 Windows 系统日志进行分析，且支持对开关机日志事件单独解析展示（此处不详细展示）

图5  取证软件A解析 evtx（不支持混合启动解析）

图6  取证软件B解析 evtx（支持混合启动解析）

取证提醒：部分取证软件目前仅支持解析传统的开机/关机事件（6005/6006），无法识别快速启动场景下的 27/42事件。在这类取证软件中，混合休眠期会被合并计入“开机时长”，导致单次开机持续时间被严重拉长。

03

日志事件释义

DESC

开关机分析涉及的核心事件ID、所属通道与取证含义汇总如下：

• 开机类事件

• 关机类事件

• 睡眠与唤醒类事件

取证提醒：42与107是睡眠唤醒对，不是关机开机对。但快速启动的混合关机过程中，系统会短暂触发42→107事件对（间隔极短，通常数秒内），作为内核休眠写入的流程标记。这与用户主动睡眠（42→107间隔较长）不同，分析时应结合27事件的BootType值共同判断。

• 异常与时间类事件

一条必须牢记的原则：任何关于开关机性质的结论，都不能建立在单一事件ID之上，必须交叉验证。

04

开关机时间线

TIMELINE

开关机时间线的形态，取决于设备是否启用快速启动。

• 标准启动模式：关闭快速启动

一次标准的完全关机+冷启动，System日志中会形成完整闭环：

关机：1074（发起关机）→ 6006（日志服务停止）→ 109（内核发起关机）→ 13（系统关机）

开机：12（内核启动）→ 27（BootType=0）→ 6005（日志服务启动）

图7 事件查看器标准启动日志（System.evtx实例）

图8 关闭快速启动后的标准开关机完整时间线（System.evtx实例）

取证提醒：事件27的 BootType 字段是判断启动类型关键：BootType=0为冷启动；BootType=1为快速启动唤醒。标准模式下 6005、6006 事件完整，可用于构建时间线。

• 快速启动模式：开启快速启动

1. 如何判断是否开启快速启动

打开控制面板 → 硬件和声音 → 电源选项 → 选择电源按钮的功能 → 更改当前不可用的设置→在下方“关机设置”里看：

勾选了“启用快速启动” → 快速启动已开启

没勾选 → 已关闭

图9  Windows 电源设置界面（判断是否开启）

2. 开启快速模式为什么6005、6006会消失

快速启动（Fast Startup）本质是\"混合关机\"：点击关机时，系统只注销用户会话，内核会话与系统状态则写入休眠文件hiberfil.sys，相当于对内核做了一次休眠。

由于事件日志服务从头到尾没有真正停止，下一次开机又是从休眠状态恢复——日志服务也没有重新启动。因此6006（服务停止）与6005（服务启动）都不会生成，System日志在\"关机-开机\"前后保持同一会话连续写入，时间戳无缝衔接，看上去就像系统从未关过机。

3. 还原时间线

混合休眠关机，事件日志服务全程不停止，关机侧不生成 1074/6006/109/13。开机侧仅生成 27（BootType=1），开机期间可能出现 42→107 的短暂事件对。

图10 事件查看器快速启动日志（System.evtx实例）

图11  开启快速启动后的混合启停时间线（System.evtx实例）

快速启动模式下，传统的6005,6006,13,109全部缺失，仅剩Kernel-Boot通道的27事件携带关键参数BootType=1（混合启动）。

05

开关机时间线

CHECKLIST

1. 只查6005/6006：在Win10/Win11默认快速启动下必然漏事件，开机记录大面积缺失，误判为\"未开机\"或\"时间线空窗\"。
2. 不看BootType：把27事件BootType=1的混合启动当成冷启动，会把\"快速启动\"误写成\"重新开机\"，导致时间线性质错误。
3. 不核对Provider：第三方驱动也会发27事件（本例中RST Middleware发出4条不带BootType的27），不核对提供程序与XML参数会把驱动事件误当引导事件。
4. 忽视41与6008：41（Kernel-Power）与6008同时存在指向异常断电/强制断电，是\"是否正常关机\"的关键判据。
5. 忽略时区与时间基准：evtx内部以UTC存储，展示层转本地时间；不核对TimeZoneInformation与4616时间修改记录，时间线整体偏移。
6. 忽视日志清除痕迹：Event ID 104出现即日志被清空，需结合VSS卷影、归档日志Archive-\*.evtx与SIEM集中日志找回历史。

结语

Windows系统开关机日志分析的核心，不是读出几个时间点，而是把事件串成一条经得起推敲的时间线。快速启动普及后，6005/6006 不再出现，1074/109/13也不再生成，27事件的 BootType 值才是判断启动类型的关键。

先查快速启动状态，再读事件含义，最后形成结论，应成为固定流程。