Bewaking van stille procesafsluiting

Vanaf Windows 7 kunt u het tabblad Stille proces afsluiten in GFlags gebruiken om de naam in te voeren van een proces dat u wilt bewaken voor stille uitgang.

In de context van deze bewakingsfunctie gebruiken we de term stille uitgang om te betekenen dat het bewaakte proces op een van de volgende manieren wordt beëindigd.

Zelfbeëindiging

Het bewaakte proces beëindigt zichzelf door ExitProcess aan te roepen.

Beëindiging tussen processen

Een tweede proces beëindigt het bewaakte proces door TerminateProcess aan te roepen.

De bewakingsfunctie detecteert geen normale procesbeëindiging die plaatsvindt wanneer de laatste thread van het proces wordt afgesloten. De bewakingsfunctie detecteert geen procesbeëindiging die wordt geïnitieerd door kernelmoduscode.

Als u een proces wilt registreren voor monitoring van stille beëindiging, opent u het tabblad Stille Procesbeëindiging in GFlags. Voer de procesnaam in als de afbeelding en druk op de Tab-toets . Schakel het selectievakje Stille procesbewaking inschakelen in en selecteer Toepassen. Hiermee stelt u de vlag FLG_MONITOR_SILENT_PROCESS_EXIT in de volgende registervermelding in.

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessName\GlobalFlag

Zie Bewaking van het stille beëindigen van processen inschakelen voor meer informatie over deze vlag.

Voor meer informatie over het gebruik van het tabblad Silent Process Exit in GFlags, zie Het configureren van bewaking van stille procesafsluiting.

Op het tabblad Stille proces afsluiten van GFlags kunt u de acties configureren die plaatsvinden wanneer een bewaakt proces op de achtergrond wordt afgesloten. U kunt meldingen, logboekregistratie van gebeurtenissen en het maken van dumpbestanden configureren. U kunt een proces opgeven dat wordt gestart wanneer stil afsluiten wordt gedetecteerd, en een lijst met modules die de monitor negeert. Verschillende van deze instellingen zijn wereldwijd en voor afzonderlijke toepassingen beschikbaar. Algemene instellingen zijn van toepassing op alle processen die u aanmeldt voor stille afsluiting monitoring. Toepassingsinstellingen zijn van toepassing op een afzonderlijk proces en overschrijven globale instellingen.

Algemene instellingen worden opgeslagen in het register onder de volgende sleutel.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit

Toepassingsinstellingen worden opgeslagen in het register onder de volgende sleutel.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\ProcessName

Rapportagemodus

De instelling Rapportagemodus is beschikbaar als toepassingsinstelling, maar niet als globale instelling. U kunt de volgende selectievakjes gebruiken om de rapportagemodus in te stellen.

Start monitorprocesInschakelen dumpverzamelingInschakelen melding De ReportingMode-registerinvoer is een bitwise OR van de volgende vlaggen.

Vlag	Waarde	Betekenis
LAUNCH_MONITORPROCESS	0x1	Wanneer stille uitgang wordt gedetecteerd, wordt het bewakingsproces (opgegeven in het vak Proces bewaken ) gestart.
LOCAL_DUMP	0x2	Wanneer stille uitgang wordt gedetecteerd, wordt er een dumpbestand gemaakt voor het bewaakte proces. In het geval van beëindiging tussen processen wordt er ook een dumpbestand gemaakt voor het proces dat de beëindiging heeft veroorzaakt.
BEKENDMAKING	0x4	Wanneer een stille afsluiting wordt gedetecteerd, wordt er een pop-up melding weergegeven.

Zelfafsluitingen negeren

De instelling Zelfverlatingsuitsluitingen negeren is beschikbaar als een applicatie-instelling, maar niet als een algemene instelling. U kunt het selectievakje Zelfuitgangen negeren gebruiken om op te geven of zelfuitgangen worden genegeerd.

De registervermelding IgnoreSelfExits heeft een van de volgende waarden.

Waarde	Betekenis
0x0	Detecteren en reageren op zelfbeëindiging en beëindiging tussen processen.
0x1	Zelfbeëindiging negeren. Detecteren en reageren op beëindiging van meerdere processen.

Proces bewaken

U kunt een monitorproces opgeven door een procesnaam in te voeren, samen met opdrachtregelparameters, in het tekstvak Proces bewaken . U kunt de volgende variabelen in de opdrachtregel gebruiken.

Varaible	Betekenis
%e	Id van het afsluitende proces. Dit is het bewaakte proces dat stilletjes is beëindigd.
%i	ID van het initiërende proces. In het geval van zelfbeëindiging is dit hetzelfde als het afsluitende proces. In het geval van beëindiging tussen processen is dit de id van het proces dat de beëindiging heeft veroorzaakt.
%t	Id van de initiërende thread. Dit is de thread die de beëindiging heeft veroorzaakt.
%c	De statuscode die is doorgegeven aan ExitThread of TerminateThread .

De volgende waarde voor Monitorproces geeft bijvoorbeeld aan dat bij stille uitgang WinDbg wordt gestart en aan het afsluitende proces wordt gekoppeld.

windbg -p %e

De opdrachtregel Monitor Process wordt opgeslagen in de registervermelding MonitorProcess .

Locatie van dumpmap

U kunt het tekstvak Locatie van de map Dump gebruiken om een locatie op te geven voor de dumpbestanden die worden geschreven wanneer een stille uitgang wordt gedetecteerd.

De tekenreeks die u invoert voor de locatie van de map Dump , wordt opgeslagen in de registervermelding LocalDumpFolder .

Als u geen locatie voor een dumpmap opgeeft, worden dumpbestanden naar de standaardlocatie geschreven. Dit is %TEMP%\Silent Process Exit.

Grootte van dumpmap

U kunt het tekstvak Dumpmap grootte gebruiken om het maximale aantal dumpbestanden op te geven dat in de dumpmap kan worden geschreven. Voer deze waarde in als een decimaal geheel getal.

De waarde die u invoert voor de mapgrootte Dump , wordt opgeslagen in de registervermelding MaxNumberOfDumpFiles .

Standaard is er een limiet van tien dumpbestanden die kunnen worden geschreven.

Dumptype

U kunt de vervolgkeuzelijst Dumptype gebruiken om het type dumpbestand (Micro, Mini, Heap of Aangepast) op te geven dat is geschreven wanneer een stille uitgang wordt gedetecteerd.

Het dumptype wordt opgeslagen in de registervermelding DumpType. Dit is een bitgewijze OF-bewerking van de leden van de opsomming MINIDUMP_TYPE. Deze opsomming wordt gedefinieerd in dbghelp.h, dat is opgenomen in het pakket Foutopsporingsprogramma's voor Windows.

Stel dat u een dumptype Micro hebt gekozen en u ziet dat de registervermelding DumpType een waarde van 0x88 heeft. De waarde 0x88 is een bitsgewijze OF van de volgende twee MINIDUMP_TYPE opsommingswaarden.

MiniDumpFilterModulePaths: 0x00000080

MiniDumpFilterMemory: 0x00000008

Als u een dumptype Aangepast kiest, voert u in het vak Aangepast dumptype uw eigen bitsgewijze OF-uitdrukking van MINIDUMP_TYPE opsommingswaarden in. Voer deze waarde in als een decimaal geheel getal.

Lijst negeren van module

U kunt het vak Module Negeerlijst gebruiken om een lijst met modules op te geven die worden genegeerd wanneer een stille beëindiging wordt gedetecteerd. Als het bewaakte proces wordt beëindigd door een van de modules in deze lijst, wordt de stille uitgang genegeerd.

De lijst met modules die u invoert in het vak Lijst met module negeren , wordt opgeslagen in de registervermelding ModuleIgnoreList .

Procesafsluitrapporten lezen in Logboeken

Wanneer een bewaakt proces stil beëindigt, maakt de monitor een vermelding in het Logboek. Om de Evenementenviewer te openen, voert u de opdracht eventvwr.msc in. Navigeer naar windows-logboekentoepassing>. Zoek naar logboekvermeldingen met een bron van procesafsluitmonitor.