EventLogQuery查询异常：通过特定二进制令牌检索事件失败求助

问题背景 #

尝试通过特定二进制令牌检索事件日志中的事件，初始代码执行时提示Invalid Query错误，调整查询语句后不再报错，但仍无法找到已存在的目标事件。

初始查询代码：

var queryString = @"*[EventData[Binary='AAAD78D436708349A059D47F0CE766C4']]";
var query = new EventLogQuery("Application", PathType.LogName, queryString);
var results = new List<EventRecord>();
await Task.Factory.StartNew(() =>
                            {
                                using var reader = new EventLogReader(query);
                                while (reader.ReadEvent() is { } ev)
                                {
                                    results.Add(ev);
                                }
                            },
                            token);
return results;

更新后的查询语句：

var queryString = @"*[EventData[Binary and (Binary='AAAD78D436708349A059D47F0CE766C4')]]";

问题原因 #

Windows事件日志的Binary节点存储的是Base64编码的原始二进制数据，但事件查看器XML视图中显示的是十六进制格式的字符串。直接用十六进制字符串做XPath查询，要么因类型不匹配触发语法错误，要么无法匹配到实际存储的Base64值。

解决方法 #

将事件查看器中获取的十六进制Binary字符串转换为Base64编码，再用Base64值构建查询语句：

1. 十六进制转Base64的C#代码 #

// 从事件查看器XML中复制的十六进制Binary字符串
string hexBinary = "AAAD78D436708349A059D47F0CE766C4";
// 转换为字节数组
byte[] binaryBytes = Enumerable.Range(0, hexBinary.Length)
                               .Where(index => index % 2 == 0)
                               .Select(index => Convert.ToByte(hexBinary.Substring(index, 2), 16))
                               .ToArray();
// 转换为Base64编码
string base64Binary = Convert.ToBase64String(binaryBytes);
// 构建正确的查询字符串
string queryString = $"*[EventData[Binary='{base64Binary}']]";

2. 线程安全优化 #

原代码中List<EventRecord>不是线程安全集合，在多线程场景下可能出现异常，建议替换为ConcurrentBag<EventRecord>：

var results = new ConcurrentBag<EventRecord>();
await Task.Factory.StartNew(() =>
                            {
                                using var reader = new EventLogReader(query);
                                while (reader.ReadEvent() is { } ev)
                                {
                                    results.Add(ev);
                                }
                            },
                            token);

额外检查点 #

• 确认目标事件的二进制数据确实存储在EventData/Binary节点下，部分事件可能将二进制数据放在UserData或其他自定义节点中。
• 验证转换后的Base64值与事件日志实际存储的Binary值一致（可通过读取事件的ToXml()方法查看原始XML中的Base64值）。

内容的提问来源于stack exchange，提问作者Bitfiddler