主页 / server / 问题 / 830848
Accepted
Suncatcher
Asked: 2017-02-07 05:12:48 +0800 CST

MS 消息分析器中的进程名称

  • 772

我正在尝试完全按照本参考资料中的说明设置消息分析器查看器，但是在 ProcessName 和 ProcessID 列中，我得到了一些奇怪的数字，而不是稳定的进程名称。

在此处输入图像描述

我使用标准无线场景

在此处输入图像描述

并关注 ETW 提供商

在此处输入图像描述

抓拍得到的netsh trace start scenario=wlan capture=yes景色相同

在此处输入图像描述

如何在这里获取进程名称？

traffic packet-sniffer network-traffic message-queuing packet-capture

2 个回答

  1. Best Answer

    似乎需要 Windows_Kernel_Trace 消息来提供进程名称。我遇到了与您在会话开始之前应用会话过滤器（包括 IP 地址过滤器）相同的问题。我将过滤器更改为：

    !(*Port in [3389, 1494, 1503]) and (IPv4.Address == 10.0.0.123 or Windows_Kernel_Trace)

    现在大多数消息都会显示进程名称。

    • 2

  2. 我将其作为中间答案发布，直到我从 Microsoft 获得有关此问题的详细评论（可能永远不会发生）。

    通过反复试验，我发现只有在实时跟踪开始之前指定会话过滤器时才会发生上述问题。我使用非常大的基于 IP 的过滤，如下所示：

    *Port!=3389 and
((IPv4.Address in 2.16.106.48/28 ) or
(IPv4.Address in 2.16.106.64/27 ) or
(IPv4.Address in 2.16.106.96/28 ) or
(IPv4.Address in 2.16.106.112/29 ) or
(IPv4.Address in 2.16.106.120/31 ) or
(IPv4.Address in 2.16.106.122/32 ) or
(IPv4.Address ==  2.19.177.129 ) or
...
many lines

    但是，如果我在会话开始后应用会话过滤器 ，那么一切都会正常并且进程名称会按预期显示。我无法正确解释这种现象，因为过滤与进程名称（由内核提供）无关，显然它与您应用过滤器的那一刻无关，也应该无关：在会话开始之后或之前。

    微软的又一败笔……

    • 0

相关问题