到目前为止,我已经尝试过Win32_LogonSession(WMI)和LsaEnumerateLogonSessions / LsaGetLogonSessionData(secur32.dll).
两者都工作,并且似乎返回相同的数据,但是当用户注销时它们太慢而无法更新:
>系统启动时,返回“0个交互式用户”. (好)
>当我登录时,他们返回“1个交互式用户”. (好)
>但是当我注销时,用户数保持为1.新登录后,数字为2,依此类推.
因此,Win32_LogonSession和LsaEnumerateLogonSessions都足够好了.服务需要在最后一个交互式用户离开后的5分钟内知道.
甚至连SysInternals的LogonSessions.exe都没有给出最新的答案.
此外,答案不能是“监视登录和注销事件并具有计数器变量”,因为该服务可以随时启动.
1)获取每个交互式会话的登录会话ID.
> LsaEnumerateLogonSessions(secur32.dll)
> LsaGetLogonSessionData(secur32.dll)
> sessionData.LogonType = SECURITY_LOGON_TYPE.Interactive或sessionData.LogonType = SECURITY_LOGON_TYPE.RemoteInteractive
> sessionData.LoginID< - 将此值保存在LUID集中.
> LsaFreeReturnBuffer(secur32.dll)
2)获取每个正在运行的进程的登录会话ID.
[首先我们需要将SeDebugPrivilege启用到当前应用程序.]
> GetCurrentProcess(kernel32.dll)
> OpenProcessToken TOKEN_ADJUST_PRIVILEGES(advapi32.dll)
> LookupPrivilegeValue SE_DEBUG_NAME(advapi32.dll)
> AdjustTokenPrivileges(advapi32.dll)
> CloseHandle(kernel32.dll)
[然后检索我们想要的数据.]
> EnumProcesses(psapi.dll)
> OpenProcess PROCESS_QUERY_INFORMATION(kernel32.dll)
> OpenProcessToken TOKEN_QUERY(advapi32.dll)
> GetTokenInformation TOKEN_INFORMATION_CLASS.TokenStatistics(advapi32.dll)
> accessTokenStatistics.AuthenticationId< - 将此值保存在LUID集中.
> CloseHandle(kernel32.dll)
3)设置交叉点基数
interactiveSessionsCount = | { sessionData.LoginID } ∩ { accessTokenStatistics.AuthenticationId } |
Obs:sessionData.LoginID和accessTokenStatistics.AuthenticationId都是LUID类型.
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。