注意：默认情况下，evtx_dump 将尝试使用多线程，这意味着记录可能会乱序返回。

要强制使用单线程（这将确保顺序），可以传递 -t 1。

示例用法（作为库）

use evtx::EvtxParser;
use std::path::PathBuf;

// Change this to a path of your .evtx sample. 
let fp = PathBuf::from(format!("{}/samples/security.evtx", std::env::var("CARGO_MANIFEST_DIR").unwrap())); 

let mut parser = EvtxParser::from_path(fp).unwrap();
for record in parser.records() {
    match record {
        Ok(r) => println!("Record {}\n{}", r.event_record_id, r.data),
        Err(e) => eprintln!("{}", e),
    }
}

在编译时启用功能 "multithreading"（默认启用）将启用并行版本。

性能基准测试

使用多线程时 - 与任何其他解析器相比，evtx 都要快得多。对于单核性能，它是最快且唯一支持 xml 和 JSON 输出的跨平台解析器。

使用 hyperfine（统计测量工具）在我的机器上进行了性能基准测试。

我在 12 核 AMD Ryzen 3900X 上运行测试。

测试在 WSL2 下运行，在 linux 文件系统上（因此不应产生从读取 windows 挂载中产生的开销）。

基准测试的库

• python-evtx(https://github.com/williballenthin/python-evtx) - 使用 CPython 和 PyPy
• libevtx(https://github.com/libyal/libevtx)
• golang-evtx(https://github.com/0xrawsec/golang-evtx.git) - 仅 JSON（使用多线程）
• evtx(https://github.com/Velocidex/evtx) - 仅 JSON。
• evtx（此库）

注意：显示的数字是 实时 测量值（调用完成所需时间）。由于同步开销，当使用多线程/多进程时，用户时间 测量值更高。

使用8个线程 - 当导出XML日志时，evtx 比 python-evtx 快 650倍 以上。

使用最大可用的线程（逻辑核心数） - evtx 比 golang-evtx 快约 8-10倍。这两种实现都使用了类似的并行策略。

注意事项

• 目前未实现
  • CDATA节点。
  • EVTHandle 节点类型。

如果解析器在这些节点中出错，请随时打开一个问题或给我发送一个带有示例的电子邮件。

许可证

根据您的选择，许可如下

• Apache License，版本 2.0，(LICENSE-APACHE 或 http://www.apache.org/licenses/LICENSE-2.0)
• MIT 许可证 (LICENSE-MIT 或 http://opensource.org/licenses/MIT)

。

贡献

除非您明确说明，否则根据 Apache-2.0 许可证定义的，您提交的任何有意包含在作品中的贡献，应按上述方式双重许可，不附加任何额外条款或条件。