50、Windows系统管理与诊断：WMI与ETW深入解析

Windows系统管理与诊断：WMI与ETW深入解析

1. WMI实现

WMI（Windows Management Instrumentation）服务在以本地系统账户运行的共享Svchost进程中运行。它将提供程序加载到WmiPrvSE.exe提供程序托管进程中，该进程作为DCOM启动器（RPC服务）进程的子进程启动。WMI根据代表提供程序实现的WMI Win32Provider对象实例的HostingModel属性值，在本地系统、本地服务或网络服务账户中执行Wmiprvse。当提供程序从缓存中移除，且在收到最后一个提供程序请求一分钟后，Wmiprvse进程退出。

1.1 查看Wmiprvse创建

可以通过运行Process Explorer并执行Wmic来查看WmiPrvSE的创建过程。WmiPrvSE进程将出现在托管DCOM启动器服务的Svchost进程下方。若启用了Process Explorer作业突出显示功能，它将以作业突出显示颜色显示，因为为防止失控的提供程序耗尽系统的所有虚拟内存资源，Wmiprvse在一个作业对象中执行，该对象限制了它可以创建的子进程数量以及每个进程和作业的所有进程可以分配的虚拟内存量。

1.2 WMI组件位置

大多数WMI组件默认位于%SystemRoot%\System32和%SystemRoot%\System32\Wbem目录下，包括Windows MOF文件、内置提供程序DLL和管理应用程序WMI DLL。在%SystemRoot%\System32\Wbem目录中，可以找到事件日志提供程序MOF文件Ntevt.mof和事件日志提供程序的DLL Ntevt.dll，WMI服务会使用该DL