Поиск и устранение неисправностей

1. Загрузите ProcDump с Microsoft Sysinternals.

2. Позвольте ему взять дамп, после того как WmiPrvSE.EXE поражает 25% в течение 1 секунды:

   procdump.exe -c 25 -s 1 -x WmiPrvSE.EXE %HOMEPATH%\WmiPrvSE.dmp
   

   Это создаст дамп в Вашей папке User.

   Не стесняйтесь повторять это еще 1 - 2 раза, таким образом, Вы имеете больше дампов и можете быть уверены, что причина выводится и не другое более нормальное событие.

3. Проанализируйте свой дамп (дампы) онлайн и дополнительно совместно используйте его на SpeedyShare.

   Альтернатива: WinDBG мог использоваться с командой !analyze -v, обязательно установите символы.

4. Отслеживание стека, которое шоу должны включать процедуру, которая вызывает это.

Возможно, Google несколько главных процедур стека для получения лучшее представление, что они делают.
Если они не помогают, Вам, возможно, понадобился бы более усовершенствованный анализ. Посмотрите мой следующий раздел:

1. Загрузите установку с Windows Performance Analysis Tools для Вашей версии Windows.
2. Установите программное обеспечение в своей системе.

3. Откройте командную строку как администратора и скопируйте, вставляют следующую команду:

   xperf -start perf!GeneralProfiles.InBuffer -stackwalk profile && timeout -1 && xperf -stop perf!GeneralProfiles.InBuffer %HOMEPATH%\myTrace.etl
   

4. НАЖМИТЕ ENTER однажды для запуска команды, теперь необходимо будет ожидать, пока скачок не произошел.

5. Прямо после Вашего скачка Вы переходите к консоли и нажимаете ENTER.
6. После ожидания некоторого времени файл журнала myTrace.etl будет произведен в Вашей пользовательской папке.

7. Выполните следующую команду, чтобы показать файл и проанализировать его (Требуемый WinDBG/Symbols):

   xperf %HOMEPATH%\myTrace.etl
   

Если Вы хотите, чтобы я изучил его:

8. Сожмите myTrace.etl от своей Пользовательской Папки до zip-файла.
9. Совместно используйте сжатый zip-файл на SpeedyShare.
10. Поделитесь ссылкой здесь, я сделаю попытку найти и показать Вам причину Вашей проблемы.

Поскольку WmiPrvSE.EXE является хостом к рабочим запросам WMI против хранилища CAPI, Вы не смогли находить причину даже с XPerf из-за IPC, другое решение, которое я только что нашел, состояло бы в том, чтобы включить вход WMI и проверку журналов, как описано здесь, ClientProcessId будет PID Процесса, который сделал запрос WMI. Этот PID может быть прослежен назад к процессу путем добавления столбца PID к Проводнику Диспетчера задач или Процесса, или с tasklist /FI "PID eq X" где X PID, Вы нашли...

Анализ Дампа 1: Строки 94-115 указывают на Вызов удаленной процедуры.
Анализ Дампа 2: Строки 84-105 указывают на Вызов удаленной процедуры.

В Ядре новая дискуссия начата для обработки тупика Вызова удаленной процедуры, который в сущности является запросом запроса, который Поставщик WMI выполнит и ответит на. Это приводит к высокой активности ЦП из-за чтения информации о Реестре и/или Производительности.

Поскольку дамп является получением единственного момента, который Вы не сможете видеть, какой процесс выполнил RPC.
Так, Вам нужна программа, которая прослеживает как XPerf для наблюдения предыдущего сообщения, которое сделало бы RPC.

Или при включении информации о состоянии RPC можно использовать rpcdbg для наблюдения, кто инициировал вызов.

Пример:

0:000> bp rpcrt4!RpcServerUseProtseqEpA
0:000> g
Breakpoint 0 hit
eax=00452000 ebx=7ffd5000 ecx=00452008 edx=00000014 esi=00d5f55c edi=7c911970
eip=77e97a0b esp=0012ff3c ebp=0012ff6c iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000206
RPCRT4!RpcServerUseProtseqEpA:
77e97a0b 8bff mov edi,edi
0:000> kb
ChildEBP RetAddr Args to Child
0012ff38 00401046 00452000 00000014 00452008 RPCRT4!RpcServerUseProtseqEpA
0012ff6c 00401e37 00000001 003330a0 00333120 hellos!main+0x46 [e:\projects\hello\hellos.c @ 21]

Вышеупомянутый пример устанавливает точку останова на RPC, таким образом, Вы добираетесь для наблюдения, кто выполняет его во второй строке стека. Но хорошо, маловероятно, что установка точки останова на первом вызове (обратите внимание на то, что это - живая отладка) поможет Вам видеть, кто называет Поставщика WMI каждым разом...

Существует намного больше информации в той статье об информации о состоянии RPC, которая могла бы помочь, но это не для малодушного как мы для прохождения через всего этого, когда мы могли просто использовать XPerf вместо этого.:-)

Как мы теперь знаем о внутренней работе того, как RPC работает, мы могли также использовать Монитор API:

1. Загрузите, установите и запустите Монитор API. _{(дважды, если у Вас есть 64 бита: однажды x86, однажды x64)}
2. Перейдите к Файлу-> Выполненный Как Администратор

3. Установите фильтр получения API к Rpcrt4.dll модуль.

   

4. Подобный точке останова, мы хотим знать, кто звонит RpcServerUseProtSeq функции:

   

5. Сцепите каждый Рабочий Процесс за исключением тех, которые имеют низкий PID (для предотвращения катастрофических отказов).
   Идеал, Вы не хотите сцепляться dwm.exe/winlogon.exe или ниже.
   Вы могли также попробовать единственные процессы и отсоединить их позже из окна Hooked Processes...

   Хотя... Я попробовал его и мог сцепиться о любом процессе.

6. Если все будет подходить, то Крючковатый Процесс, который делает вызов RPC, будет содержать потоки.
   И при нажатии на эти потоки, необходимо видеть набор вызовов.
   Если Вы делаете, Вы нашли процесс, вызывающий проблему!

Решение

Совершенствование Вашего компьютера важно, устанавливание HPWA 4.0.10.0 решает это!;-)

Запись в блоге Microsoft Является WMIprvse настоящий злодей? шоу, как найти, какой процесс ответственен за ЦП, который использует WmiPrvSE.exe.

Метод использует опцию средства просмотра События "Аналитичного шоу и Журналы Отладки" для трассировки всего действия WMI, таким образом, получая идентификатор процесса виновного процесса.

Вы попытались видеть, является ли это вирус? Некоторым вирусам действительно нравится шествовать вокруг как службы Windows как этот. Удостоверьтесь WmiPrvSE.exe процесс расположен в c:\windows\system32\wbem каталог. В противном случае Вы могли бы хотеть запустить общие программы обнаружения шпионского ПО. Если это не шпионское ПО, это могло бы возможно другой сервис, который это называет им. Я знаю, что имею быстрый несколько гаджетов, работающих на моем компьютере, и иронически гаджет монитора производительности иногда делает мой пик нагрузки ЦП немного. Кроме того, это мог быть другой сервис, который нажимает тот газ время от времени. Например, раздутое программное обеспечение от HP, Dell, и т.д.

Кроме этого, другой ответ от TomWij кажется довольно хорошим для поиска и устранения неисправностей его вниз!