PowerShellでWindows API AuditEnumerateCategories関数を使用するには？

Question

PowerShellを使用して現在のAdvanced Security Audit Policyを取得します。私はauditpol.exeを使うことができましたが、その出力はOS言語ごとに異なり、解析が困難です。

settingsは、HKEY_Local_Machine\Security\Policy\PolAdtEvのREG_NONE値に格納されます。私はthat unofficial structure tableの助けを借りて値を解析しようとする可能性があります。しかし、私の考えているアプローチは、Windows API関数AuditQuerySystemPolicyをadvapi32.dllにすることです。

thisの大きな助けを得て、PowerShellでTypeを次のように作成しました。

$MemberDefinition = @' 
[DllImport("advapi32.dll", SetLastError = true)] 
    public static extern bool AuditEnumerateCategories(
     out IntPtr ppAuditCategoriesArray, 
     out uint pCountReturned); 

[DllImport("advapi32.dll", SetLastError = true)] 
    public static extern bool AuditLookupCategoryName(
     ref Guid pAuditCategoryGuid, 
     out StringBuilder ppszCategoryName); 

[DllImport("advapi32.dll", SetLastError = true)] 
    private static extern bool AuditEnumerateSubCategories(
     ref Guid pAuditCategoryGuid, 
     bool bRetrieveAllSubCategories, 
     out IntPtr ppAuditSubCategoriesArray, 
     out uint pCountReturned); 

[DllImport("advapi32.dll", SetLastError = true)] 
    public static extern bool AuditLookupSubCategoryName(
     ref Guid pAuditSubCategoryGuid, 
     out StringBuilder ppszSubCategoryName); 

[DllImport("advapi32.dll")] 
    public static extern void AuditFree(
     IntPtr buffer); 

[DllImport("advapi32.dll", SetLastError = true)] 
    public static extern bool AuditQuerySystemPolicy(
     Guid pSubCategoryGuids, 
     uint PolicyCount, 
     out IntPtr ppAuditPolicy); 
'@ 

$Advapi32 = Add-Type -MemberDefinition $MemberDefinition -Name 'Advapi32' -Namespace 'Win32' -UsingNamespace System.Text -PassThru 

タイプはsuccessfuly作成されますが、私は最初の段階で失敗している - すべての監査カテゴリのGUIDを取得します。私はさまざまな種類の問題があります。私はまた、IntPtrからGuidにAuditEnumerateCategories精細出力を変更しようとした例えば

$guid = [Guid].MakeByRefType() 
$count = [IntPtr]::Zero 
[Win32.Advapi32]::AuditEnumerateCategories([ref]$guid, [ref]$count) 
# Exception calling "AuditEnumerateCategories" with 2 Arguments: "The value "System.Guid&" of the type "System.RuntimeType" cannot be coverted to "System.IntPtr". 

を試してみました。 ppAuditCategoriesArrayの出力は

GUID構造体へのポインタの配列と構造体自体の両方を含む単一のバッファへのポインタです。

残念ながら、私は残念ながら、PowerShellでこれをどのように処理するかについてはわかりません。

Answer 1

Marshal.PtrToStructure Method（.NET）を入力してください。例えば、メモリのアンマネージブロックから、PtrToStructure(IntPtr, Type)マーシャリングデータ指定されたタイプの新しく割り当てられた管理オブジェクトに、以下参照コードスニペットコメント：0 `$ GUID = [System.Int64]場合

### (unchanged) 
### $MemberDefinition = … 
### $Advapi32 = Add-Type … 

$guid = [System.Int64]::MinValue   ### or ### [System.Int64]0 
$count = [System.Int32]::MaxValue   ### or ### [System.Int64]0 

$aux = [Win32.Advapi32]::AuditEnumerateCategories([ref]$guid, [ref]$count) 

$guidArr = @()        ### array to store GUIDs 

$guidPtr = [int64]$guid      ### pointer to next GUID 
$guidOff = [System.Runtime.InteropServices.Marshal]::SizeOf([type][guid]) 
$ppszCategoryName = [System.Text.StringBuilder]::new() 

for ($i=0; $i -lt $count; $i++) { 
    $guidAux = [System.Runtime.InteropServices.Marshal]:: 
         PtrToStructure([System.IntPtr]$guidPtr,[type][guid]) 
    $guidArr += $guidAux   ### update array of GUIDs for future use 
    $guidPtr += $guidOff   ### shift pointer to next GUID 

    ### debugging: try another method of [Win32.Advapi32] Runtime Type 
    $foo = [Win32.Advapi32]::AuditLookupCategoryName([ref]$guidAux,[ref]$ppszCategoryName) 
    ### debugging: show partial results 
    Write-Host $('{0} {1,4} {2,4}' -f $guidAux.Guid, 
         $ppszCategoryName.Capacity, $ppszCategoryName.Length) 
}