Toolsmith Tidbit: Will Ballenthin’s Python-evtx

Andrew Case (@attrc) 在Twitter上提到了Will Ballenthin (@williballenthin) 的Python-evtx，这提醒我早就应该在这里也提及这个工具。

以下是Will在其网站上对Python-evtx的描述： “python-evtx是一个纯Python解析器，用于解析新版Windows事件日志文件（文件扩展名为.evtx）。该模块提供对文件和块头、记录模板以及事件条目的编程访问。例如，您可以使用python-evtx在Mac或Linux工作站上查看Windows 7系统的事件日志。结构定义和解析策略深受Andreas Schuster及其Perl实现Parse-Evtx的工作启发。”

假设您正在运行Python 2.7，可以通过pip install python-evtx安装，或从Github下载源代码：https://github.com/williballenthin/python-evtx