WMI - どのように正確に機能しますか？ WmiApSrv.exeサービスの作成内容とメッセージのディスパッチ方法は何ですか？

Question

私は最近、WMIがWindowsシステム上で内部的にどのくらい正確に動作しているのか不思議に思っています。私は、具体例を具体的に理解し、それらを一歩一歩深く理解するのが好きです： 私が実行している比較的単純なシナリオを取ることができますtasklist.exe。私はタスクリストがWMIを使ってローカルマシン上で実行中のタスクを照会していることを知っています。

初めてサービスを起動した後、WmiApSrv.exeというサービス（svchost.exe -k DcomLaunchの子プロセス）が起動します。

ここで、tasklist.exeが何をしているのかを知りたいと思っています.Webサービス（services.msc）のスタートアップタイプがManualで自動ではありません。開始、いつ、どのように？特定のsvchost.exe -k DcomLauncherプロセスへの接続は何ですか？

RPCコール（NdrClientCall2）をリバースエンジニアリングしようとしましたが、RPCの呼び出しGUIDが何十件もの関連するものであり、どこに接続するのか把握できませんでした。 RpcView（http://www.rpcview.org/）が私の前に助けてくれたのですが、何らかの理由でWindows 10マシンで動作しません（Win7やXPの仮想マシンでも動作しません）。

Answer 1

これはlpcを使用して行われますが、rpcイベントが記録されるMicrosoft-Windows-RPCエンドポイントに付随するMicrosoftのメッセージアナライザを使用して内部を確認できます。 tasklist.exeがwmiインターフェイスuuidにクライアントスタブ関数を呼び出し、rpc呼び出しがsvchost.exe -k DcomLaunchに送られ、WmiApSrv.exeが開きます。

これは私のしたことよりも徹底した見栄えが必要ですが、これはあなたの答えを見つけることにつながるはずです。