WMI技术介绍和应用——事件通知

        在《WMI技术介绍和应用——WMI概述》中，我们使用了下图介绍WMI构架（转载请指明出于breaksoftware的csdn博客）

        我们之前介绍的使用WMI查询系统、硬件等信息的功能，是通过查询WMI静态数据的空间实现的。这个功能的核心是在上图中2，即WMI Infrastructure层实现的。本文将让我们对WMI的认识深入到1，即WMI Providers and Managed Objects层。具体的功能是使用WMI检测到WMI数据和服务的变化。再具体一点就是，我们可以使用WMI检测进程创建、服务状态变化、电脑状态变化，磁盘可用空间变化等信息。这些都是非常让人激动的技术，我想做过安全的朋友应该清楚，如果想全局监控系统中进程的创建，除了下驱动就是使用Hook技术。如果你只是想知道哪些进程创建这样轻量级的需求，也要使用驱动、Hook这种重量级的技术，是否感觉有点得不偿失？而WMI就给我们提供了这样的一种轻量级的解决方案。

        上图的WMI Providers and Managed Objects(托管对象和WMI提供者)层中，我们将使用Provider帮我们检测WMI变化。需要注意的一点是，并不是所有的Provider都可以为我们提供事件通知——只有WMI Event Class的托管对象才会在事件发生时给我们提供通知。我们收到的事件，可能来源于两种事件，一种是intrinsic event，即内在事件；还有一种是extrinsic event，即外来事件。内在事件是在标准的WMI数据模型发生改变而产生的事件，这将是我们介绍的重点。外来事件，和内在事件相对，即非标准WMI数据数据模型发生改变而产生的事件。

        介绍了这么多基础知识了，那如何查询事件通知呢？在《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中，我们讲解WMI查询静态数据时，我们可以使用同步查询和半同步查询两种查询方式。像静态数据，正如其名，它是静态的，即它存在就存在，不存在即不存在，所以我们可以使用同步方式查询。半同步其实就是一个伪装的异步操作，我们在那篇文章中已经做了介绍，本文不再赘述。而本文主要讲解的查询事件通知，它是动态发生的。即可能我查询的即刻，那个事件还未发生，我们需要等待一段时间，才会在事件发生后接收到通知。这就意味着查询事件通知，是不可能使用同步查询方式，我们可以选择异步查询或者半同步查询方式。

        作为查询的载体——事件使用者（Event Consumers），也是分为两种：临时事件使用者和永久事件使用者。

        临时事件使用者是我们未来最早接触到的一个使用者，顾名思义，它是指WMI接收事件通知的生命周期和发起查询的应用程序一致。WMI包含一个统一的接口用来向客户端应用程序提供WMI事件。

        永久事件使用者是一种更复杂的使用者——它是一个COM对象，用于持续接收WMI事件通知。它使用一些现有的对象和过滤器去获取WMI事件。我们可以设置一些WMI对象和过滤器去获取WMI事件。当一个事件发生，并命中过滤器，WMI将加载永久事件使用者并通知它某事件发生了。或许你会有点好奇，永久事件使用者是保存在什么地方？WMI又是如何找到它的？永久事件使用者是保存在WMI仓库中（上图2层中WMI repository），并且是一个在WMI中注册的可执行文件，这样WMI便可以方便的寻找和加载它了。

        这些事件都是由事件提供者（An event provider）发送给WMI的。它也是个COM组件。我们可以使用C++或者C#编写事件提供者程序。大部分事件提供者管理着一个WMI对象。对于如何编写WMI事件提供者，我们会在之后介绍。

        我们再回到查询事件通知，首先我们要编写一个异步事件查询类。因为连接空间等操作和之前的都相同，所以我们的查询类也是继承于《WMI技术介绍和应用——VC开发WMI应用的基本步骤》介绍的CWMI类

template<typename T>
class CAsynNotifyQuery : public CWMI
{
public:
    CAsynNotifyQuery(const wstring& wszNamespace, const wstring& wszWQLQuery, HANDLE hExitEvent);
    ~CAsynNotifyQuery(void);
private:
    HRESULT Excute(CComPtr<IWbemServices> pSvc);
private:
     wstring m_wszWQLQuery;
     HANDLE m_hExitHandle;
};

        CAsynNotifyQuery是一个模板类，这是区别于我们之前的其他类。我们再来关注下主要方法——Excute方法的实现

template<typename T>
HRESULT CAsynNotifyQuery<T>::Excute( CComPtr<IWbemServices> pSvc )
{
    HRESULT hr = WBEM_S_FALSE;

    do {
        CComPtr<IUnsecuredApartment> pUnsecApp = NULL;
        hr = CoCreateInstance( CLSID_UnsecuredApartment, NULL,
            CLSCTX_LOCAL_SERVER, IID_IUnsecuredApartment, (void**) &pUnsecApp);
        CHECKWMIHR(hr);

        CComPtr<IWbemObjectSink> pSink = new T;

        CComPtr<IUnknown> pStubUnk = NULL;
        pUnsecApp->CreateObjectStub(pSink, &pStubUnk);

        CComPtr<IWbemObjectSink> pStubSink = NULL;
        pStubUnk->QueryInterface(IID_IWbemObjectSink, (void**)&pStubSink);

        hr = pSvc->ExecNotificationQueryAsync( 
            CComBSTR("WQL"),
            CComBSTR(m_wszWQLQuery.c_str()),
            WBEM_FLAG_SEND_STATUS,
            NULL,
            pStubSink );

        CHECKWMIHR(hr);

        if ( NULL != m_hExitHandle ) {
            WaitForSingleObject(m_hExitHandle, INFINITE );
        }

        hr = pSvc->CancelAsyncCall(pStubSink);

        if ( NULL != pSink ) {
            delete pSink;
            pSink = NULL;
        }

    } while (0);

    return hr;  
}

        首先我们需要创建一个IUnsecuredApartment接口实例。该接口是客户进程发起异步调用的，它提供了一个CreateObjectStub方法创建一个桩，WMI将在异步执行过程中对该桩进行操作。我们再看下传入的模板类的定义

class CSink : public IWbemObjectSink
{
public:
    CSink();
    ~CSink();

    virtual ULONG STDMETHODCALLTYPE AddRef();
    virtual ULONG STDMETHODCALLTYPE Release();
    virtual HRESULT STDMETHODCALLTYPE QueryInterface(REFIID riid, void** ppv);
    virtual HRESULT STDMETHODCALLTYPE Indicate(LONG lObjectCount, IWbemClassObject __RPC_FAR* __RPC_FAR* apObjArray);
    virtual HRESULT STDMETHODCALLTYPE SetStatus(LONG lFlags, HRESULT hResult, BSTR strParam, IWbemClassObject __RPC_FAR* pObjParam);
    HRESULT DealIWbemClassObject(CComPtr<IWbemClassObject> pObj);
private:
    // 返回值为WBEM_S_NO_ERROR则继续枚举，否则中断枚举
    virtual HRESULT DealWithSingleItem(CComBSTR bstrName, CComVariant Value, CIMTYPE type, LONG lFlavor);
private:
    LONG m_lRef;
    bool m_bDone;
};

        IWbemObjectSink接口用于接收WMI事件。我们主要需要实现Indicate方法，WMI框架将调用这个方法把消息实例传递给我们。从这个函数的最后一个参数可以看出，它传递过来的是一个事件数组

HRESULT STDMETHODCALLTYPE CSink::Indicate( LONG lObjectCount, IWbemClassObject __RPC_FAR* __RPC_FAR* apObjArray )
{
    for (long i = 0; i < lObjectCount; i++) { 
        CComPtr<IWbemClassObject> pObj = apObjArray[i]; 
        DealIWbemClassObject(pObj);
    } 

    return WBEM_NO_ERROR; 
}

        DealWbemClassObject是我自己定义和实现的方法，其主要功能就是输出事件的内容。
我们可以使用下例去调用查询操作

    HANDLE hEvent = CreateEvent(NULL, FALSE, FALSE, NULL);
    CAsynNotifyQuery<CInstanceEvent> recvnotify(L"root\\CIMV2", L"SELECT * FROM __InstanceModificationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Process'", hEvent);
    recvnotify.ExcuteFun();

        更多事件查询的例子，可以查看《WMI技术介绍和应用——接收事件》一文。

        工程源码见《WMI技术介绍和应用——WMI概述》结尾。