如果您需要确认某款软件是否曾被安装或卸载，但控制面板中已无痕迹，则Windows系统通常已在后台保留相关操作日志。以下是查看软件安装与卸载记录的具体方法：
一、通过事件查看器筛选MsiInstaller日志
Windows Installer服务会在系统日志中自动记录所有基于MSI包的安装与卸载行为，事件ID 1033代表安装，1034代表卸载，每条记录均包含程序名称、时间戳及执行用户。
1、在任务栏搜索框中输入事件查看器，以管理员身份打开。
2、左侧导航栏依次展开Windows 日志 → 应用程序。
3、在右侧操作面板中点击筛选当前日志。
4、在“事件来源”下拉菜单中选择MsiInstaller。
5、在“包括事件ID”框中输入1033,1034，点击确定。
6、列表中将仅显示安装与卸载事件，双击任一项目可查看产品名称、卸载时间、用户SID及操作结果代码。
二、检查Windows安装程序性能日志（Setup.etl）
系统级安装过程（如Windows功能启用、系统组件更新）会写入Setup.etl二进制日志，该文件完整记录从启动到完成的全部阶段，适用于排查非MSI方式触发的安装行为。
1、打开文件资源管理器，定位至路径：%WINDIR%\Panther\（通常为C:\Windows\Panther\）。
2、查找名为Setup.etl的文件，若存在则说明系统执行过重大安装/升级操作。
3、启动事件查看器，点击左侧操作 → 打开已保存的日志。
4、浏览至上述路径，选中Setup.etl并打开。
5、日志将以结构化事件形式呈现，其中Event ID 1000 及以上多对应组件部署动作，可结合时间范围与Task Category字段识别软件相关活动。
三、解析SQL Server专用安装日志目录
若目标软件为SQL Server，其安装程序会独立生成多层文本日志，不依赖MsiInstaller，且包含配置参数、失败模块及数据引擎初始化详情，信息粒度远超通用日志。
1、访问默认日志根目录：%ProgramFiles%\Microsoft SQL Server\140\Setup Bootstrap\Log\（数字140对应SQL Server 2017；2016为130，2019为150）。
2、进入最新命名的子文件夹，格式为yyyyMMdd_HHmmss（如20260227_143211）。
3、打开其中的Summary.txt获取整体状态摘要，含成功/失败组件清单。
4、打开Detail.txt逐行查看执行步骤，搜索关键词如”InstallFeature”、”Failed”、”Rollback”定位具体环节。
5、若为无人值守安装，还需检查%TEMP%\sqlsetup*.log中的实时输出流日志。
四、扫描注册表残留项（Uninstall键值）
即使软件已被卸载，Windows通常不会立即清除注册表中对应的卸载项，尤其当卸载流程异常中断时，DisplayName与InstallDate等值仍可能保留在Uninstall子键中，成为关键追溯线索。
1、按下Win+R，输入regedit并回车。
2、导航至路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\。
3、逐个展开子项，在右侧窗格查找DisplayName值，确认是否为目标软件名称。
4、若存在，检查InstallDate（格式为YYYYMMDD）与UninstallString（若为空或无效，表明已卸载）。
5、部分软件还会写入Publisher、Version、EstimatedSize等字段，辅助交叉验证。
五、调用命令行工具导出应用程序日志
对于需批量分析或自动化审计的场景，wevtutil命令可直接将应用程序日志导出为XML或文本格式，便于外部工具解析，避免手动翻查界面效率低下问题。
1、以管理员身份运行命令提示符或PowerShell。
2、执行以下命令导出最近7天的应用程序日志（含MsiInstaller事件）：wevtutil qe Application /q:”*[System[(Level=2 or Level=3) and TimeCreated[timediff(@SystemTime) <= 604800000]] and EventData[Data[@Name=’ProviderName’]=’MsiInstaller’]]” /f:text > app_msi_log.txt
3、等待执行完成，打开生成的app_msi_log.txt文件。
4、使用Ctrl+F搜索软件名或关键字，快速定位匹配行。
5、每条记录中与<Data Name=”ProductName”>…即为关键证据字段。
评论(0)