來練習看看WINDOWS的事件檢視器與登錄log檔

WIN11電腦最近開機後會出現還原系統的工具選單，因為有UWF，想說應該不會出現這樣@@所以就試著看"事件檢視器"，真的有看沒有懂，光是開機稽核成功就有21個，感謝ZERO皇有介紹，其中也有講到登錄檔(圖書館有???)阿湯哥、網管人有介紹logonTracer、許瓈方也有分享、黑馬寫不停也有分享，其他內容很有趣@下面是跟著ZERO皇來練習看看~~

微軟的事件碼列表。4672(低)、

• 第一天：介紹備份還原，利用一之120G隨身碟，分割兩區，變身為修復USB與備份USB。
• 第二天：修改登錄檔之前，要先備份喔。
• 第三天：登錄檔分五大類：前面都是HKEY，(handle key)再分兩類：
  機器，LOCAL_MACHINE、CLASSES_ROOT、CURRENT_CONFIG
  使用者，CURRENT_USER、USERS
  全部登錄檔，HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\HiveList
• 第四天：講解上面五大類的資訊
• 第五天：可以用CMD修改登錄檔，也可以點兩下.reg檔來匯入(等於是修改)，所以可以發送給多台電腦統一部屬，或作為修補包給登錄檔損壞的用戶。
• 第六天：登錄檔整個匯出會有問題，因為有些需要權限或是正在運行。
  原本在想可以匯出UWF的相關設定，但看起來還是單獨跑比較妥當@@
  整機的登錄檔，微軟建議"系統還原"或備份。
• 第七天：有時修改要重開機才有效，試試看 cmd -> reg /?
• 第八天：https://ithelp.ithome.com.tw/articles/10263051