10

Можно ли как-то отследить запуск другого процесса(cmd.exe) средствами C#? Может быть есть какие-то библиотеки для работы с системными событиями?

2 ответа 2

10

Можно при помощи WMI. Но именно отследить, что он произошёл, а не вмешаться перед запуском, выполнив какие-то действия, и не отменить его.

Вот код на VB.NET (писал давно):

Imports System.Management

Module All

WithEvents Watcher As New ManagementEventWatcher("SELECT * FROM __InstanceOperationEvent WITHIN 1 WHERE TargetInstance ISA ""Win32_Process""")

Public Sub Main()
  Watcher.Start()
  Console.ReadKey()
  Watcher.Stop()
End Sub

Private Sub Watcher_EventArrived(ByVal Sender As Object, ByVal E As EventArrivedEventArgs) Handles Watcher.EventArrived
  Dim EventType As String = E.NewEvent.ClassPath.ClassName
  'Dim Prc As New Win32_Process(TryCast(E.NewEvent("TargetInstance"), ManagementBaseObject))
  Dim Cmd As String = TryCast(E.NewEvent("TargetInstance"), ManagementBaseObject)("CommandLine")

  Select Case EventType
    Case "__InstanceCreationEvent"
      Console.WriteLine("{0:-16} {1}", EventType, Cmd)
    Case "__InstanceDeletionEvent"
      Console.WriteLine("{0:-16} {1}", EventType, Cmd)
    Case "__InstanceModificationEvent"
      'Console.WriteLine(EventType)
  End Select
 End Sub

End Module
6
  • "Можно при помощи WMI. Но именно отследить, что он произошёл" Именно это мне и надо, спасибо большое :) 22 сен 2015 в 4:10
  • "при помощи WMI. Но именно отследить, ... не отменить его" -- есть метод Terminate его можно вызвать после события __InstanceCreationEvent.
    – Stack
    20 дек 2015 в 19:44
  • @Stack, естественно, прервать процесс можно (да хоть через Process.Kill по id), но это именно прерывание, а не отмена запуска.
    – Qwertiy
    20 дек 2015 в 19:49
  • @Qwertiy в описании Terminate сказано "Preventing a process from running in the first place." -- preventing = предотвращение. по идее - отмена. хотя в msdn может быть ошибка.
    – Stack
    20 дек 2015 в 19:55
  • @Stack, "from running", но не "from starting". На момент получения уведомления процесс уже запущен и на время обработки не приостанавливается. Я это вроде тогда ещё проверял. Или Terminate можно как-то в сам запрос загнать?
    – Qwertiy
    20 дек 2015 в 20:00
8

Так как вопрос для которого я написал данный ответ оказался "дубликатом", выкладываю решение здесь, тем более просили решение на C#, а принятый ответ на VB.

using System;
using System.Management; // =>Project => Add Reference => System.Managemen

namespace ProcessMonitor
{
    class Program
    {
        static void Main(string[] args)
        {
            ManagementEventWatcher startWatch = new ManagementEventWatcher(
                new WqlEventQuery("SELECT * FROM Win32_ProcessStartTrace"));
            startWatch.EventArrived += startWatch_EventArrived;
            startWatch.Start();
            ManagementEventWatcher stopWatch = new ManagementEventWatcher(
                new WqlEventQuery("SELECT * FROM Win32_ProcessStopTrace"));
            stopWatch.EventArrived += stopWatch_EventArrived;
            stopWatch.Start();
            Console.WriteLine("Press ENTER to exit");
            Console.ReadLine();
            startWatch.Stop();
            stopWatch.Stop();
        }

        static void stopWatch_EventArrived(object sender, EventArrivedEventArgs e)
        {
            Console.WriteLine("Process stopped: {0}", e.NewEvent.Properties["ProcessName"].Value);
        }

        static void startWatch_EventArrived(object sender, EventArrivedEventArgs e)
        {
            Console.WriteLine("Process started: {0}", e.NewEvent.Properties["ProcessName"].Value);
        }
    }
}

Для отслеживания конкретного процесса можно записать так:

ManagementEventWatcher startWatch = new ManagementEventWatcher(
                new WqlEventQuery("SELECT * FROM Win32_ProcessStartTrace WHERE ProcessName = \"notepad.exe\""));

Важно! Использование ManagementEventWatcher требует привилегий администратора.

Возможные параметры которые можно использовать в представленном WQL запросе можно посмотреть тут.

9
  • Хм.. Какой-то другой способ. А в чём разница по сравнению с моим?
    – Qwertiy
    14 янв 2016 в 22:13
  • @Qwertiy по сути никакой, просто ваш на VB, а этот на C#. Когда писал ответ, был не в курсе, про ваш вариант :) 14 янв 2016 в 22:15
  • Нет, они разные - у тебя даже источники другие в запросе: Win32_ProcessStartTrace и Win32_ProcessStopTrace, а у меня что-то c __InstanceOperationEvent . В чём разница между подходами?
    – Qwertiy
    14 янв 2016 в 22:17
  • @Qwertiy присмотрелся, таки разница есть :) 14 янв 2016 в 22:18
  • @Qwertiy честно говоря я в тупике: msdn.microsoft.com/en-us/library/aa394649(v=vs.85).aspx msdn.microsoft.com/en-us/library/windows/desktop/… описание методов наталкивает меня на мысль, что это разные названия одного и того же. 14 янв 2016 в 22:23

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.