Как определить, была ли предыдущая загрузка Windows загрузкой в ​​безопасном режиме?

Question

У меня есть программное обеспечение для мониторинга, которое пользователи пытаются обойти, загружая Windows в безопасном режиме. Я не могу предотвратить это, так как любое изменение, которое я делаю в меню загрузки программно, может быть отменено вручную, но было бы полезно узнать, была ли предыдущая загрузка в безопасном режиме, потому что это потенциальное свидетельство подделки.

Я знаю, что могу использовать GetSystemMetrics(), чтобы узнать, каково текущее состояние загрузки, но мне интересно, есть ли какая-либо запись непосредственно предыдущей загрузки.

Answer 1

Да, вы можете сказать это через eventvwr.exe. В Windows Logs\System будет событие с идентификатором 12 из источника "Kernel-General"

Описание этого события:

"The operating system started at system time <timestamp>"

В деталях этого события это событие помечено как "BootMode". Значение 0 указывает на нормальную загрузку, значение 1 указывает на SafeMode.