[amel27]

можно ли сделать вместо запуска батника (или из этого батника), чтобы просто писалось какое-нибудь событие в журнал »

если из батника, то можно VBS-скриптом: Logging an Event... впрочем, для WSH есть свой WMI потребитель

Подскажите, плз, где косяк? »

у меня и в таком виде работает, только нужно подправить SELECT, как подсказал Iska, или так:

Код:

    Query = "SELECT * FROM __InstanceCreationEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.CommandLine LIKE \"%%.scr /s\"";

Код:

    Query = "SELECT * FROM __InstanceDeletionEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.CommandLine LIKE \"%%.scr /s\"";

[Morpheus]

amel27, т.е. так должно быть?

Код:

#pragma namespace ("\\\\.\\Root\\subscription")

// Создание экземпляра потребителя событий командной строки
// для запуска батника "c:\\TEST\scrstart.cmd", и
// присвоение ему псевдонима $SCRSTARTCONSUMER

instance of CommandLineEventConsumer as $SCRSTARTCONSUMER
{
	Name = "ScreenSaverStartConsumer";
	CommandLineTemplate = "D:\\MOF\\scrstart.cmd %TargetInstance.Name%";
	WorkingDirectory = "D:\\MOF";
};    

// Создание экземпляра потребителя событий командной строки
// для запуска батника "c:\\TEST\scrstop.cmd",
// присвоение ему псевдонима $SCRSTOPCONSUMER

instance of CommandLineEventConsumer as $SCRSTOPCONSUMER
{
	Name = "ScreenSaverStopConsumer";
	CommandLineTemplate = "D:\\MOF\\scrstop.cmd %TargetInstance.Name%";
	WorkingDirectory = "D:\\MOF";
};    

// Создание экземпляра фильтра событий 
// для создания нового процесса *.SCR
// и присвоение ему псевдонима $SCRSTARTFILTER

instance of __EventFilter as $SCRSTARTFILTER
{
    Name = "ScreenSaverStartFilter";
    EventNamespace = "\\\\.\\root\\cimv2";  

    Query = "SELECT * FROM __InstanceCreationEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.CommandLine LIKE \"%%.scr /s\"";
    QueryLanguage = "WQL";
};

// Создание экземпляра фильтра событий 
// для удаления процесса *.SCR
// и присвоение ему псевдонима $SCRSTOPFILTER

instance of __EventFilter as $SCRSTOPFILTER
{
    Name = "ScreenSaverStopFilter";
    EventNamespace = "\\\\.\\root\\cimv2";  

    Query = "SELECT * FROM __InstanceDeletionEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.CommandLine LIKE \"%%.scr /s\"";
    QueryLanguage = "WQL";
};

// Создание экземпляра связи между фильтром и подписчиком
// события запуска хранителя экрана

instance of __FilterToConsumerBinding
{
     Consumer = $SCRSTARTCONSUMER;
     Filter = $SCRSTARTFILTER;
};

// Создание экземпляра связи между фильтром и подписчиком
// события остановки хранителя экрана

instance of __FilterToConsumerBinding
{
     Consumer = $SCRSTOPCONSUMER;
     Filter = $SCRSTOPFILTER;
};

[amel27]

так должно быть? »

не то чтобы должно, но желательно

[Morpheus]

amel27, логи создаются, а событие в журнале найти не могу.

UPD: нашел, из-за чего не работал код из #30 - EventType = 3 не пишется, если = 1 или 4 - пишется.
Теперь другой проблем - событие Start создаётся 2 раза и одновременно пишется Stop. Не подскажете?

[Iska]

Наверное, потому что нет такого значения EventType:

читать дальше »

… EventType Data type: uint32 Access type: Read/write Qualifiers: Not_Null Type of event. This parameter can have one of the values in the following table, which are defined in Winnt.h and Ntelfapi.h. Value Meaning: EVENTLOG_SUCCESS Successful event EVENTLOG_ERROR_TYPE Error event EVENTLOG_WARNING_TYPE Warning event EVENTLOG_INFORMATION_TYPE Information event EVENTLOG_AUDIT_SUCCESS Success audit type EVENTLOG_AUDIT_FAILURE Failure audit type …

Код: … // // The types of events that can be logged. // #define EVENTLOG_SUCCESS 0x0000 #define EVENTLOG_ERROR_TYPE 0x0001 #define EVENTLOG_WARNING_TYPE 0x0002 #define EVENTLOG_INFORMATION_TYPE 0x0004 #define EVENTLOG_AUDIT_SUCCESS 0x0008 #define EVENTLOG_AUDIT_FAILURE 0x0010 …

[Morpheus]

The types of events that can be logged. »

Вот этой информации мне и не хватало, для полной картины. Спасибо!

Остаётся разобраться с дублированием событий.

[amel27]

Остаётся разобраться с дублированием событий. »

возможно, для одного фильтра зарегистрированы ДВА потребителя с разными именами, необходимо вспомнить и удалить все объекты по примеру из поста #22 (чтобы сообщения не появлялись вовсе), после чего провести компиляцию MOF-файла

P.S. если при компиляции встречается ошибка (несуществующий объект), то работа MofComp аварийно прекращается (т.е. для корректного удаления должны существовать ВСЕ описанные в MOF-файле объекты) - по этой причине после удаления могут оставаться "хвосты"

P.P.S есть удобные утилиты для визуальной работы с событиями (WMI Administrative Tools), но официально заявлена только поддержка XP

[Morpheus]

amel27, хм, любопытно. Проверил на хосте вместо виртуалки, 1 старт и 1 стоп. М.б. есть способ вывести всех потребителей, для всех фильтров, в командной строке? В WMI Administrative Tools пустота, ставил в режиме совместимости, от админа, в профиль.

Удалил-создал-удалил-создал-удалил-создал с новыми именами - всё пришло в норму.

Теперь такой вопрос: Registering for Power Events (Windows)

GUID_MONITOR_POWER_ON - 02731015-4510-4526-99e6-e5a17ebd1aea The monitor on/off notification indicates when the primary system monitor is on or off. This notification is useful for components that actively render content to the display device, such as media visualization. These applications should register for this notification and stop rendering graphics content when the monitor is off to reduce system power consumption. The Data member is a DWORD that indicates the current monitor state. 0x0 The monitor is off. 0x1 The monitor is on.

Можно ли прикрутить с помощью MOF или это уже из области С++?
Хочется отвязаться от заставки, которую я не использую, и привязаться к отключению/включению моника.

[amel27]

Можно ли прикрутить с помощью MOF или это уже из области С++? »

поддержка состояния монитора через WMI заявлена, но не поддерживается, готовых (бесплатных) COM-объектов для использования в WSH не попадалось, а лобовое решение требует языков с поддержкой Win32 API: С++, Basic, (возможно) AutoIT и т.п.

В WMI Administrative Tools пустота, ставил в режиме совместимости, от админа, в профиль. »

у меня под W7 запустилось почти сразу и в обычном режиме... правда, только в режиме чтения, для полного доступа нужно запустить IE с правами админа и вручную вбить в строку адреса типа: "C:\Program Files\WMI Tools\EventReg.htm", указать контекст: "root\subscription" и в ниспадающем списке выбрать тип объектов (Consumers/Filters), на правой панели будут отражены текущие привязки объектов

[Morpheus]

поддержка состояния монитора через WMI заявлена, но не поддерживается »

Жаль, спасибо!

у меня под W7 запустилось почти сразу и в обычном режиме... правда, только в режиме чтения, для полного доступа нужно запустить IE с правами админа и вручную вбить в строку адреса типа: "C:\Program Files\WMI Tools\EventReg.htm", указать контекст: "root\subscription" и в ниспадающем списке выбрать тип объектов (Consumers/Filters), на правой панели будут отражены текущие привязки объектов »

Спасибо, работает!