Rozpocznij proces przy użyciu usługi WMI - nie wszystkie procesy są wykrywane

Question

Używam następującego kodu C# w usłudze systemu Windows (która działa jako NT_AUTHORITY\SYSTEM), aby utworzyć procedurę obsługi zdarzeń do odbierania zdarzeń tworzenia procesów (przy użyciu usług WMI i WQL):

string queryString = "SELECT * FROM Win32_ProcessStartTrace"; 
ManagementEventWatcher watcher = new ManagementEventWatcher(new WqlEventQuery(queryString)); 
watcher.EventArrived += new EventArrivedEventHandler(ProcessStartEvent); 
watcher.Start(); 

W ProcessStartEvent:

int processId = int.Parse(e.NewEvent.Properties["ProcessId"].Value.ToString()); 
Process proc = Process.GetProcessById(processId); 

Out("Received process: " + proc.ProcessName); 

---

problem mam jest to, że (z jakiegoś dziwnego powodu) nie każdy początek procesu jest c aptured i zgłoszone przez program. Jeśli rozpoczynam około 6 procesów jednocześnie, jeden nie może pojawić się na wyjściu.

Próbowałem wykonać pewne badania dotyczące przechwytywania zdarzeń związanych z tworzeniem procesów za pomocą usługi WMI, ale dostępne są ograniczone informacje. Widziałem, że jest to również możliwe, aby uchwycić proces zaczyna używać coś podobnego do:

SELECT TargetInstance 
FROM __InstanceCreationEvent 
WITHIN 2 
WHERE TargetInstance ISA 'Win32_Process' 

(Jak widać w this Stack Overflow answer)

Czy istnieją znaczne różnice między użyciem __InstanceCreationEvent i Win32_ProcessStartTrace? Czy to może być przyczyną moich problemów?

Czy istnieje wyjaśnienie, dlaczego nie otrzymuję zdarzeń dla wszystkie rozpoczyna się proces? Czy jest coś bardziej oczywistego, że robię źle tutaj?

Answer 1

Obie metody są ważne, ale działają w różny sposób.

Gdy używasz klasy WMI __InstanceCreationEvent, używasz zdarzenia intrinsic, co oznacza, że ​​monitorujesz zmiany w standardowym modelu danych WMI (działa to jak wyzwalacz w tabeli).

Podczas korzystania z Win32_ProcessStartTrace używasz zdarzenia Extrinsic, co oznacza, że ​​używasz specjalistycznej klasy zdarzeń wykonanej dla określonego zadania, w tym przypadku monitoruj proces tworzenia.

Wracając do Twojego problemu, najlepszym sposobem na uniknięcie "utraty" niektórych wydarzeń jest utworzenie permanent event consumer.

Answer 2

Znalazłem, gdy pojawi się zdarzenie, które rozpoczęło proces - przekazuje to zdarzenie do osobnego wątku, na przykład w celu zwiększenia wątku można przekazać identyfikator procesu do nowego wątku.

Oznacza to, że WMI COM nie zaplątuje się i przestaje działać.

zobaczyć http://sourceforge.net/p/processhistory/code/HEAD/tree/trunk/PHLogger/COM_WMI_Consumer/

jakiegoś roboczej kodu C++.