0

可以使用 WMI COM 生成进程，下面是在 VBS 中生成 calc.exe 的示例。父级是 WmiPrvSE.exe，它是 WMI COM 服务器，而不是 wscript.exe。任务是挂钩下面的流程创建请求。

str = "calc.exe"
Set objWMIService = GetObject("winmgmts:\\.\root\cimv2")
Set objStartup = objWMIService.Get("Win32_ProcessStartup")
Set objConfig = objStartup.SpawnInstance_
Set objProcess = GetObject("winmgmts:\\.\root\cimv2:Win32_Process")
objProcess.Create str, Null, objConfig, intProcessID

可以使用查询来监控使用 WMI 创建的异步进程：

"SELECT * FROM MSFT_WmiProvider_ExecMethodAsyncEvent_Post WHERE ObjectPath=\"Win32_Process\" AND MethodName=\"Create\"";

执行上述 VBS 脚本时会触发一个事件。但 ManagementEventWatcher 接收到仅提供有用信息的事件命令行：

void OnEventArrived(object sender, System.Management.EventArrivedEventArgs e)
{
string cmdline = e.NewEvent["InputParameters"]["ProcessStartupInformation"]["CommandLine"]
}

并且不可能知道 VBS 起源于产卵 calc.exe。我需要源和目标 PID，即“wscript.exe sample.vbs”PID=666 创建“calc.exe”PID=667 使用 WMI。这个怎么做？此外，是否有可能阻止在 MSFT_WmiProvider_ExecMethodAsyncEvent_Pre 事件上创建进程？

4

1 回答 1

0

尝试Process.Id属性。

Process[] localByName = Process.GetProcessesByName("notepad");
int i = localByName.Length;
while (i > 0)
{
    // You can use the process Id to pass to other applications or to
    // reference that particular instance of the application.
    Console.WriteLine(localByName[i - 1].Id.ToString());
    i -= 1;
}

否则，如果您需要使用不同的属性进行枚举，请在此处查看。

于 2017-02-14T17:29:20.993 回答