w10电脑开机记录-(w10电脑开机记录在哪里看)

我们可以解读这里面的信息，比如：

在事件查看器里ID号为6006的事件表示事件日志服务已停止，如果你没有在当天的 事件查看器中发现这个ID号为6006的事件，那么就表示计算机没有正常关机，可能是因为系统原因或者直接按下了计算机电源键，没有执行正常的关机操作造成的。当你启动系统的时候，事件查看器的事件日志服务就会启动，这就是ID号为6005的事件正常重启是6006，非正常重启6008或者6009。

假如我们的电脑上有一个用户账户user，两个内置账户Administrator账户(Administrador)和Guest账户。如果劫持RID值为500的内置Administrator账号，将RID值分配给Guest账号，然后以Guest账号和指定的密码登陆设备，发现成功地以Guest登陆机器了，还可以执行以下命令：

（1）、用cmd.exe打开console，可以看到是以Administrator 账号运行的。

（2）、研究人员是以Guest账号登陆的，可以运行whoami和检查默认路径查看。

（3）、Guest账号仍然是Guests localgroup（本地组）的成员，可以使攻击静默进行。

（4）、可以执行一些特权操作，比如向Windows受保护的文件夹system32中写文件。

我们查看下我们电脑上的RID。

我们再次打开注册表，依次展开

"HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Administrator"

若无法展开SAM表则需要右键单击，在快捷菜单中选择"权限"，赋予Administrator完全控制权限，重新打开注册表