11

我在使用 powershell Start-Process 调用时遇到了一种奇怪的行为。

这是电话：

$process = start-process `
    "C:\somepath\MyBinary.exe" `
    -PassThru `
    -Credential $defaultCredential `
    -Wait `
    -WorkingDirectory  "C:\somepath" `
    -LoadUserProfile
if ($process.ExitCode -ne 0)
{
#do something
}

此调用始终返回退出代码 - 1073741502。
快速搜索后，此退出代码似乎与程序无法加载所需的 dll（又名。STATUS_DLL_INIT_FAILED）时的一般错误有关。

当我在没有程序的情况下运行它时-Credential $credential，程序运行正常。

为了隔离问题，我some.exe在提示符中手动启动了我的目标凭据，它运行顺利。

所以问题似乎只来自 start-process cmdlet 有效启动进程的方式。

我为这个问题找到了一些潜在的解决方案，但我试图应用但没有运气：链接和链接。

你知道这里发生了什么吗？

编辑 1：
我在直接或通过 powershell 脚本启动时运行 proc mon 来监视程序活动。加载时似乎会出现问题kernelbase.dll。

本地 procmon 转储（工作）：

9:06:35.3837439 AM  MyBinary.exe    2620    Load Image  C:\Windows\SysWOW64\kernelbase.dll  SUCCESS Image Base: 0x76270000, Image Size: 0x47000
9:06:35.4317417 AM  MyBinary.exe    2620    RegOpenKey  HKLM\System\CurrentControlSet\Control\Nls\Sorting\Versions  REPARSE Desired Access: Read
9:06:35.4317751 AM  MyBinary.exe    2620    RegOpenKey  HKLM\System\CurrentControlSet\Control\Nls\Sorting\Versions  SUCCESS Desired Access: Read
9:06:35.4318016 AM  MyBinary.exe    2620    RegSetInfoKey   HKLM\System\CurrentControlSet\Control\Nls\Sorting\Versions  SUCCESS KeySetInformationClass: KeySetHandleTagsInformation, Length: 0
9:06:35.4318152 AM  MyBinary.exe    2620    RegQueryValue   HKLM\System\CurrentControlSet\Control\Nls\Sorting\Versions\(Default)    SUCCESS Type: REG_SZ, Length: 36, Data: 00060101.00060101
...

Powershell procmon（失败，请参阅线程退出和进程退出代码 - 1073741502）：

9:35:07.9455191 AM  MyBinary.exe    2276    Load Image  C:\Windows\SysWOW64\kernelbase.dll  SUCCESS Image Base: 0x76270000, Image Size: 0x47000
9:35:07.9537146 AM  MyBinary.exe    2276    Thread Exit     SUCCESS Thread ID: 5112, User Time: 0.0000000, Kernel Time: 0.0000000
9:35:07.9537386 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\System32\apisetschema.dll    SUCCESS Name: \Windows\System32\apisetschema.dll
9:35:07.9537686 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\somepath\MyBinary\MyBinary.exe   SUCCESS Name: \somepath\MyBinary\MyBinary.exe
9:35:07.9537914 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\System32\wow64cpu.dll    SUCCESS Name: \Windows\System32\wow64cpu.dll
9:35:07.9538134 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\System32\wow64win.dll    SUCCESS Name: \Windows\System32\wow64win.dll
9:35:07.9538349 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\System32\wow64.dll   SUCCESS Name: \Windows\System32\wow64.dll
9:35:07.9538579 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\System32\ntdll.dll   SUCCESS Name: \Windows\System32\ntdll.dll
9:35:07.9538796 AM  MyBinary.exe    2276    QueryNameInformationFile    C:\Windows\SysWOW64\ntdll.dll   SUCCESS Name: \Windows\SysWOW64\ntdll.dll
9:35:07.9539425 AM  MyBinary.exe    2276    Process Exit        SUCCESS Exit Status: -1073741502, User Time: 0.0000000 seconds, Kernel Time: 0.0000000 seconds, Private Bytes: 339,968, Peak Private Bytes: 401,408, Working Set: 1,523,712, Peak Working Set: 1,826,816

编辑 2：
我应该提到 powershell 脚本是从服务运行的（它是竹服务代理）。我刚刚发现这个线程说：

Process.Start 在指定凭据时在内部调用 CreateProcessWithLogonW(CPLW)。不能从 Windows 服务环境（如 IIS WCF 服务）调用 CreateProcessWithLogonW。它只能从交互式进程（由通过 CTRL-ALT-DELETE 登录的用户启动的应用程序）调用。

我的猜测是 powershell start-process 调用正在使用CreateProcessWithLogonW...

编辑 3：
我的服务是使用自定义用户运行的（因为我无法从系统模拟），因此 read link。我测试确保启用了“允许服务与桌面交互”。HKLM\System\CurrentControlSet\Services\%myservice%因为它仅适用于非自定义帐户，所以我通过更改Type 键在注册表中手动设置它（如此处和此处所述）。

4

3 回答 3

7

start-process是 的“别名” System.Diagnostics.Process.Start()，所以是的，它确实使用了CreateProcessWithLogonW(). 如前所述，此方法不能从服务进程调用，它只能从“交互式”进程调用。对“唯一”的警告是您发现的那个-当您不更改凭据时，它至少可以启动该过程。（这实际上甚至可能是一个错误——与我交谈过这个问题的一位微软支持工程师对它完全起作用感到“惊讶”。）

从服务进程内部启动另一个进程的唯一（支持）方法是使用本机 Win32 API 方法CreateProcessAsUser()。如何做到这一点的一个例子是 C#.NET 可以在编辑 #2 中提到的问题的答案中找到。

Windows 进程必须作为用户会话的一部分启动。如果启动过程作为交互式会话的一部分运行 - 您使用 CTRL+ALT+DELETE 登录并打开桌面的那种 - 那么您可以使用CreateProcessWithLogonW()，它将自动使用您当前的用户会话。如果启动进程是一项服务或“批处理”进程（如计划任务），那么启动进程必须要么创建一个新的用户会话（或识别现有的用户会话）来启动新进程（这就是代码在上述答案中确实如此。）

于 2015-06-22T16:21:50.207 回答
0

到目前为止，我发现的唯一解决方案是禁用 UAC（将 EnableLUA 设置为 0 = 本地安全策略中的管理员批准模式）。因此，它肯定似乎是 UAC 在禁用时忽略的文件/文件夹/注册表访问问题。

于 2015-12-02T16:08:08.390 回答
0

Microsoft KB 2701373有一个关于类似问题的可用修补程序。帮助我解决了问题。

于 2016-06-06T06:48:52.370 回答