Windows 7 Pro：登录失败时触发摄像头拍照及麦克风录音方案需求

嘿，针对你Windows 7 Pro笔记本的需求——有人趁你不在尝试物理登录，之前还遭遇过Outlook密码被篡改，要在登录失败时自动触发摄像头拍照、麦克风录音，结合你习惯用组策略的偏好，我整理了一套完全靠Windows自带工具实现的方案，不用额外装软件，靠谱又符合你的使用习惯。

一、先搞定系统基础配置：开启登录失败审核 #

要捕捉登录失败的行为，首先得让系统记录这类事件，用组策略就能搞定：

• 按下Win+R输入gpedit.msc打开组策略编辑器
• 依次导航到「计算机配置」→「Windows设置」→「安全设置」→「本地策略」→「审核策略」
• 找到「审核登录事件」，双击它设置为「失败」（要是想同时记录成功登录也能选「成功和失败」，按需来）
• 确定后，系统就会开始记录登录失败的事件，对应的事件ID是4625，后面要靠这个触发脚本。

二、编写拍照+录音脚本（两种可选，按需挑） #

Win7没有原生一键调用摄像头的命令，但我们可以借助系统自带的组件写脚本，这里给你两种兼容性不错的选项：

选项1：PowerShell脚本（Win7默认自带PowerShell 2.0） #

新建一个名为CaptureOnFailedLogin.ps1的文件，把下面的代码粘进去，记得修改保存路径为你自己的路径（比如D盘某个加密文件夹）：

# 配置保存路径，建议用非系统盘，避免系统还原丢失
$photoSavePath = "D:\LoginSecurityLogs\Photos\FailedLogin_$(Get-Date -Format 'yyyyMMdd_HHmmss').jpg"
$audioSavePath = "D:\LoginSecurityLogs\Recordings\FailedLogin_$(Get-Date -Format 'yyyyMMdd_HHmmss').wma"

# 自动创建文件夹（如果不存在）
New-Item -Path (Split-Path $photoSavePath) -ItemType Directory -Force | Out-Null
New-Item -Path (Split-Path $audioSavePath) -ItemType Directory -Force | Out-Null

# 调用摄像头拍照（依赖WIA组件，大部分笔记本摄像头都支持）
try {
    $cameraManager = New-Object -ComObject WIA.DeviceManager
    $cameraDevice = $cameraManager.DeviceInfos | Where-Object {$_.Type -eq 2} | Select-Object -First 1
    if ($cameraDevice) {
        $connectedCam = $cameraDevice.Connect()
        $capturedPhoto = $connectedCam.ExecuteCommand(1) # 1代表拍照命令
        $capturedPhoto.SaveFile($photoSavePath)
    }
} catch {
    # 拍照失败的话可以记录日志，这里简化处理
}

# 录制10秒音频（依赖SAPI组件）
try {
    $audioStream = New-Object -ComObject SAPI.SpFileStream
    $audioFormat = New-Object -ComObject SAPI.SpAudioFormat
    $audioFormat.Type = 22 # 设置为WMA格式
    $audioStream.Open($audioSavePath, 3, $true) # 3代表写入模式
    $recorder = New-Object -ComObject SAPI.SpVoice
    $recorder.AudioOutputStream = $audioStream
    Start-Sleep -Seconds 10 # 录制10秒，可自行调整时长
    $audioStream.Close()
} catch {
    # 录音失败的话可以记录日志，这里简化处理
}

选项2：VBScript脚本（兼容性更强，适合老驱动的摄像头） #

新建一个名为CaptureOnFailedLogin.vbs的文件，代码如下：

' 配置保存路径
photoDir = "D:\LoginSecurityLogs\Photos\"
audioDir = "D:\LoginSecurityLogs\Recordings\"

' 自动创建文件夹
Set fso = CreateObject("Scripting.FileSystemObject")
If Not fso.FolderExists(photoDir) Then fso.CreateFolder(photoDir)
If Not fso.FolderExists(audioDir) Then fso.CreateFolder(audioDir)

' 调用摄像头拍照
Set wiaManager = CreateObject("WIA.DeviceManager")
For Each devInfo In wiaManager.DeviceInfos
    If devInfo.Type = 2 Then ' 2代表摄像头设备
        Set camera = devInfo.Connect()
        Set photo = camera.ExecuteCommand(1)
        photoName = "FailedLogin_" & Replace(Replace(Now(), "/", ""), ":", "") & ".jpg"
        photo.SaveFile(photoDir & photoName)
        Exit For
    End If
Next

' 录制10秒音频
Set encoder = CreateObject("WMEncoderLib.WMEncoder")
Set audioSource = encoder.SourceGroup(0).Sources.Add(1) ' 1代表音频输入源
audioSource.SetInput("Default_Audio_Device")
Set audioProfile = encoder.Profile.Load("Windows Media Audio V9")
audioName = "FailedLogin_" & Replace(Replace(Now(), "/", ""), ":", "") & ".wma"
encoder.File = audioDir & audioName
encoder.Start()
WScript.Sleep 10000 ' 录制10秒，单位是毫秒，可调整
encoder.Stop()

三、创建任务计划：让事件触发脚本 #

现在要设置当系统捕获到登录失败事件（ID 4625）时，自动运行上面的脚本：

1. 按下Win+R输入taskschd.msc打开任务计划程序
2. 点击「创建任务」，填写基本信息：
   • 名称：Capture Failed Login Attempts
   • 描述：登录失败时自动触发摄像头拍照和录音
   • 一定要勾选「不管用户是否登录都要运行」，还要勾选「使用最高权限运行」（不然脚本可能没权限访问摄像头）
3. 切换到「触发器」选项卡，点击「新建」：
   • 触发器类型选「事件」
   • 日志选「安全」
   • 来源选「Microsoft-Windows-Security-Auditing」
   • 事件ID填4625
   • 确定保存这个触发器
4. 切换到「操作」选项卡，点击「新建」：
   • 操作选「启动程序」
   • 如果你用PowerShell脚本：程序/脚本填powershell.exe，添加参数填-ExecutionPolicy Bypass -File "D:\你的脚本路径\CaptureOnFailedLogin.ps1"（替换成你实际的脚本路径）
   • 如果你用VBScript：程序/脚本填wscript.exe，添加参数填"D:\你的脚本路径\CaptureOnFailedLogin.vbs"
5. 切换到「条件」选项卡，取消勾选「只有在计算机使用交流电源时才启动此任务」（不然用电池的时候触发不了）
6. 切换到「设置」选项卡，勾选「允许任务按需运行」，取消勾选「如果任务运行时间超过X小时就停止」（脚本运行时间很短，不会卡）
7. 点击确定，完成任务创建

四、测试验证，确保没问题 #

设置完一定要测试下，不然真遇到情况可能掉链子：

• 按Win+L锁定电脑，故意输几次错误密码
• 去你设置的保存路径（比如D:\LoginSecurityLogs）看看有没有生成照片和音频文件
• 同时可以打开任务计划程序，查看任务的「历史记录」标签，确认任务有没有正常触发运行

额外的安全小贴士 #

• 把保存日志的文件夹设置权限：右键文件夹→「属性」→「安全」，删除其他用户的访问权限，只保留你的账户和管理员组，避免别人删日志
• 定期把日志文件备份到加密的U盘里，防止硬盘损坏或日志被篡改
• 如果脚本触发失败，可以去事件日志的「应用程序和服务日志」→「Microsoft-Windows-TaskScheduler/Operational」里找错误原因，排查驱动或权限问题

内容的提问来源于stack exchange，提问作者Seven