c# - 在 WMI 中的进程创建事件之后阅读附加信息时滞后

Question

我正在尝试创建一个应用程序来监视进程创建/终止并记录它执行的时间量及其最终记录在 mysql db 中的频率。我面临的问题是，我正在使用Win32_ProcessStartTrace和Win32_ProcessStopTrace进行监控。一旦创建了一个进程，就会使用 Win32_Process 查询它的命令行。对于那些快速退出的进程，进程创建和查询其命令行之间似乎存在“滞后”，因此我无法获得命令行。

有没有办法做到这一点？

Answer 1

此代码监视新进程的启动并打印使用的命令行：

using System;
using System.Management;

namespace ConsoleApplication1
{
    class Program
    {
        static void Main(string[] args)
        {
            new Test().Run();
            Console.ReadLine();
        }
    }

    internal class Test
    {
        public void Run()
        {
            ProcessWatcher procWatcher = new ProcessWatcher();
            procWatcher.Start();
        }

        private class ProcessWatcher : ManagementEventWatcher
        {
            private const string wql = 
                   @"SELECT * FROM __InstanceCreationEvent WITHIN 1
                     WHERE TargetInstance ISA 'Win32_Process'";

            public ProcessWatcher()
            {
                this.Query.QueryLanguage = "WQL";
                this.Query.QueryString = wql;
                this.EventArrived += newProcessStarted;
            }

            private void newProcessStarted(object sender, 
                                           EventArrivedEventArgs e)
            {
                var process = e.NewEvent["TargetInstance"] 
                              as ManagementBaseObject;

                if (process != null)
                {
                    var cmdLine = process.Properties["CommandLine"].Value;
                    Console.WriteLine(cmdLine);
                }
            }
        }
    }
}