如何从 wmi 永久事件使用者终止进程

Question

我正在尝试创建一个永久的 wmi 事件使用者，它将等待使用特定命令行参数创建进程，然后终止它。

到目前为止，我可以让我的事件处理程序在预期时触发并写入测试日志文件。 我什至可以使用 TargetEvent.TargetInstance 访问 WMI 事件中的参数。但是，当我尝试对其调用终止时，它失败了。

我在创建 wscript.shell 或 wscript.network 等对象的实例时也遇到问题，这些对象无法创建实例。我相信这可能是因为该脚本实际上并未在 Windows 脚本主机中运行。

所以我的问题是如何让终止方法在我的 Win32_Process 实例上工作，或者有没有办法调用外部命令（假设我不能使用 wscript.shell 对象）。

我从这里获得了有关如何创建 mof 文件的大部分详细信息： http://www.codeproject.com/KB/system/PermEvtSubscriptionMOF.aspx ?display=Print

我的安装 Mof 文件如下：

#pragma namespace("\\\\.\\root\\subscription")

instance of __EventFilter as $EventFilter
{
    Name  = "My Test Filter";
    EventNamespace = "Root\\Cimv2";
    Query = "Select * From __InstanceCreationEvent Within 2 " 
            "Where TargetInstance Isa \"Win32_Process\" "
            "And Targetinstance.Name = \"notepad.exe\" "
            "And Targetinstance.CommandLine LIKE \"%test.txt%\"";
    QueryLanguage = "WQL";
};

instance of ActiveScriptEventConsumer as $Consumer
{
    Name = "MyTestConsumer";
    ScriptingEngine = "VBScript";
    ScriptText = 
    "On Error Resume Next\n"
    "'Set WshShell = WScript.CreateObject(\"WScript.Shell\")\n"
    "Set objFSO = CreateObject(\"Scripting.FileSystemObject\")\n"
    "Set objFile = objFSO.OpenTextFile(\"c:\\log.txt\", 8, True)\n"
    "objFile.WriteLine Time & \" \" & \" notepad started \" & TargetEvent.TargetInstance.Handle \n"    
    "objFile.Close\n"
    "TargetEvent.TargetInstance.Terminate()\n";

};

instance of __FilterToConsumerBinding
{
    Filter = $EventFilter;
    Consumer   = $Consumer;
};

我的删除 mof 文件是：

#pragma namespace("\\\\.\\root\\subscription")
#Pragma deleteInstance("__EventFilter.Name=\"My Test Filter\"",FAIL)
#Pragma deleteInstance("ActiveScriptEventConsumer.Name=\"MyTestConsumer\"",FAIL)

#pragma deleteinstance ("__FilterToConsumerBinding.Consumer="
    "\"\\\\\\\\.\\\\root\\\\subscription:ActiveScriptEventConsumer.Name=\\\"MyTestConsumer\\\"\","
    "Filter=\"\\\\\\\\.\\\\root\\\\subscription:__EventFilter.Name=\\\"My Test Filter\\\"\"", FAIL)

Answer 1

我不知道这是什么原因，但我也从未设法让它发挥作用。乍一看应该是 - TargetEvent.TargetInstance.Name 返回进程名称等。但是在调用方法时，会向 wbemess.log 写入错误：

脚本引擎说： Microsoft VBScript 运行时错误：对象不支持此属性或方法：'TargetEvent.TargetInstance.Terminate'
(Wed Apr 13 19:44:54 2011.15735734) ：在命名空间 //./root/subscription 中删除发往事件使用者 ActiveScriptEventConsumer="TestConsumer" 的事件

这是我的解决方法：

instance of __EventFilter as $EventFilter
{
    EventNamespace = "Root\\Cimv2";
    Name  = "New Process Instance Filter";
    Query = "Select * From __InstanceCreationEvent Within 2" 
            "Where TargetInstance Isa \"Win32_Process\" "
            "And Targetinstance.Name = \"notepad.exe\" ";
    QueryLanguage = "WQL";
};

instance of ActiveScriptEventConsumer as $Consumer
{
    Name = "TargetEventConsumer";
    ScriptingEngine = "VBScript";
    ScriptText = 
    "Set objWmi = GetObject(\"winmgmts:\")\n"
    "\n"
    "Set objProcess = objWmi.Get(\"Win32_Process.Handle='\" _\n"
    "    & TargetEvent.TargetInstance.Handle & \"'\")\n"
    "\n"
    "objProcess.Terminate\n";
};

instance of __FilterToConsumerBinding
{
    Consumer   = $Consumer;
    Filter = $EventFilter;
};

在脚本中，我使用 SWbemServices.Get() 来获取创建流程实例，然后终止工作。只需将 TargetEvent.TargetInstance.Handle 传递给 SWbemServices.Get() 即可。

您无法使用 WshShell 对象，因为您尝试使用 WScript.CreateObject 创建它，但 ActiveScriptConsumer VBScript 引擎无法使用 WScript。如果您改用 VBScript CreateObject() 函数，它应该可以工作。与 WshNetwork 相同。