查询系统日志的cmd语句以及其构建方法

参考：https://social.msdn.microsoft.com/Forums/windowsserver/zh-CN/b07c7327-a82f-4c51-b1f9-790200fb4ef7/3583125945eventvwr3034031579368733582127861?forum=2212
以下命令的构建方法：
1. 先在cmd下有eventvwr /?查询一下基本语法，用处不大
2. 打开Eventvwr，点右边的筛选当前日志，打开筛选窗口手动设置一个筛选条件，然后点其XML选择卡，查询其生成的XML语句
3. 再根据XML语句的<select那行结合下面的正确的Cmd语句构建自己的cmd命令
4. 在cmd下执行自己构建的命令，就算查询出错，但也会打开eventvwr窗口，点右这筛选当前日志，查询错误的XML语句，与手动设置自动生成的XML语句对比就可以了

正确的cmd语句：
eventvwr /c:Application /f:*[System[Provider[@Name='MsiInstaller']]]   //在日志的应用程序日志中查询所有来源为MsiInstaller的日志
eventvwr /c:System /f:*[System[(EventID=6005)]]  //在日志的系统日志中查询所有ID为6005的日志

一些正确与错误的XML语句示例
<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[Provider[@EventID=6005]]]</Select>
  </Query>
</QueryList>

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[(EventID=6005)]]</Select>
  </Query>
</QueryList>

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[[@EventID=6005]]</Select>
  </Query>
</QueryList>

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[[(EventID=6005)]]</Select>
  </Query>
</QueryList>