48、Windows任务管理与调试：UBPM与COM任务深度解析

Windows任务管理与调试：UBPM与COM任务深度解析

1. ProcessMemoryDiagnosticEvents任务分析

ProcessMemoryDiagnosticEvents任务存在多个ETW触发器，这些触发器允许任务仅在特定诊断事件生成时执行，其触发器描述符包含以XPath格式指定的ETW查询。该任务唯一注册的操作是ComHandler，其中仅包含代表任务的COM对象的CLSID（类ID）。

要查找实现任务的ITaskHandler接口的DLL，可按以下步骤操作：
1. 打开注册表编辑器，导航到HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID键。
2. 从“编辑”菜单中选择“查找…”，复制并粘贴任务描述符的ClassID XML标签后的CLSID（带或不带花括号）。
3. 找到的DLL将由任务主机客户端应用程序（Taskhostw.exe）托管。

此外，在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks注册表键中，可通过任务的URI搜索找到存储在任务存储缓存中的任务描述符的GUID。任务描述符在注册表中的数据与存储在存储的影子副本（%systemroot%\System32\Tasks\Microsoft\ Windows\MemoryDiagnostic\ProcessMemoryDiagnosticEvents）中的XML配置文件相同，只是存储的二进制格式不同。

2. 启用任务与UBPM注册

启用的任务应向统一后台进程管理器（UBPM）注册。任务计划程