C#技术咨询：如何不使用WMI检测进程创建与终止事件

1. 使用Windows原生SetWinEventHook钩子 #

这是系统提供的轻量级事件拦截机制，专门用于监控系统级事件，包括进程的创建与销毁，CPU开销远低于WMI。

• 核心逻辑：挂钩EVENT_SYSTEM_PROCESSSTART和EVENT_SYSTEM_PROCESSSTOP事件（部分Windows版本支持），或通过EVENT_OBJECT_CREATE/EVENT_OBJECT_DESTROY过滤进程相关事件
• 实现要点：
  • 调用SetWinEventHook注册回调函数，指定监控的事件范围与权限
  • 在回调中提取进程ID，触发对应的启动/关闭操作
  • 注意管理钩子生命周期，避免内存泄漏

2. 优化版定时轮询进程列表 #

如果对实时性要求不是极端苛刻，定时轮询的开销可以做到极低：

• 优化策略：
  • 用CreateToolhelp32Snapshot获取进程快照，这是Windows原生高效API，比WMI快数倍
  • 增大轮询间隔（比如1-2秒），仅记录前后两次快照的差异（新增/消失的进程）
  • 只采集必要的进程信息（如ID、名称），避免遍历冗余属性
• 简化示例代码（C#）：

  List<int> lastProcessIds = new List<int>();
  while (true)
  {
      List<int> currentProcessIds = GetCurrentProcessIds(); // 基于Toolhelp实现的进程ID获取方法
      var newProcesses = currentProcessIds.Except(lastProcessIds);
      var exitedProcesses = lastProcessIds.Except(currentProcessIds);
  
      foreach (var pid in newProcesses) OnProcessStarted(pid);
      foreach (var pid in exitedProcesses) OnProcessExited(pid);
  
      lastProcessIds = currentProcessIds;
      Thread.Sleep(1000); // 调整间隔平衡实时性与CPU占用
  }
  

3. 采用ETW（Event Tracing for Windows） #

ETW是Windows原生的高性能事件追踪框架，系统级进程创建/销毁事件会被自动捕获，CPU开销几乎可以忽略：

• 核心步骤：
  • 注册监听Microsoft-Windows-Kernel-Process提供者的ProcessStart和ProcessStop事件
  • 使用EventRegister/EventSubscribe系列API（.NET环境可借助EventSource相关类简化开发）
  • 在回调中解析事件数据，提取进程ID、路径等信息，执行对应操作
• 优势：属于系统级轻量机制，适合对性能要求极高的监控场景

方案对比 #

可根据需求选择：若追求简单易实现的低开销方案，优先考虑优化轮询；若需要极致低开销+高实时性，选择ETW或SetWinEventHook。

内容的提问来源于stack exchange，提问作者Seth