WindowsNTFS日志查看与命令行技巧

IT行业相对于一般传统行业，发展更新速度更快，一旦停止了学习，很快就会被行业所淘汰。所以我们需要踏踏实实的不断学习，精进自己的技术，尤其是初学者。今天golang学习网给大家整理了《Windows查看NTFS日志方法及命令行技巧》，聊聊，我们一起来看看吧！

首先使用fsutil命令查看NTFS日志状态，确认USN日志是否启用；接着通过fsutil导出USN日志为XML文件，利用文本工具或PowerShell筛选分析文件操作记录；最后可根据需要重新启用或删除USN日志功能以控制变更追踪能力。

如果您需要排查文件系统异常或追踪磁盘上的更改记录，NTFS日志可以提供关键的底层信息。Windows默认不开放直接查看NTFS日志的常规工具，但可通过命令行手段获取相关数据。

本文运行环境：Dell XPS 13，Windows 11

一、使用fsutil查看NTFS日志状态

fsutil是Windows内置的文件系统管理工具，可用来查询NTFS日志的基本配置和状态信息，例如日志文件大小、是否启用等。

1、以管理员身份打开命令提示符（CMD），按Win + X后选择“终端（管理员）”。

2、输入以下命令查看指定驱动器的NTFS日志状态：
fsutil usn queryjournal C:

3、若返回结果包含“Usn Journal ID”、“First Usn”等字段，则表示该卷已启用USN日志（即NTFS变更日志）。

二、导出并解析USN日志记录

USN（Update Sequence Number）日志是NTFS维护的变更记录，记录了文件和目录的创建、删除、重命名等操作。可通过fsutil读取并导出这些记录。

1、在管理员命令提示符中执行以下命令导出USN日志内容：
fsutil usn readjournal C: "C:\usn_output.xml" 0

2、该命令会将C盘的USN日志以XML格式保存到指定路径，便于后续分析。

3、使用文本编辑器或支持XML的工具打开输出文件，查找特定时间范围内的文件操作记录。

三、筛选特定文件的变更记录

当需要定位某个具体文件或目录的修改历史时，可结合PowerShell对导出的USN日志进行筛选处理。

1、使用Get-Content命令加载之前导出的XML日志文件：
Get-Content C:\usn_output.xml

2、通过Select-String过滤包含目标文件名的行：
Select-String -Path C:\usn_output.xml -Pattern "example.txt"

3、检查匹配结果中的操作类型字段（如“DATA_EXTEND”、“FILE_DELETE”），判断具体行为。

四、启用或禁用USN日志功能

某些情况下USN日志可能被手动关闭，影响变更追踪能力。可通过命令控制其启用状态。

1、若需重新启用USN日志，运行以下命令：
fsutil usn createjournal m=100 a=50 C:

2、其中m指定最大日志大小（MB），a为分配单元大小，C:为目标卷。

3、若要清空现有日志并停用功能，执行：
fsutil usn deletejournal C:

本篇关于《WindowsNTFS日志查看与命令行技巧》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！