如何查找触发Win32显示变更事件、致VMWare多屏失效的Windows服务

定位触发事件的具体服务 #

二分法排查（门槛最低） #

• 打开服务管理器（services.msc），将所有非微软签名的第三方服务按所属厂商分组：戴尔配套服务、Nvidia驱动相关服务、扩展坞适配服务、其他第三方应用服务4类
• 每次禁用一类服务后运行你编写的事件监控程序，等待2~4小时确认是否还有事件触发。若事件不再触发，将范围缩小到该类下的单个服务，逐个禁用测试，直到定位到触发事件的目标服务
• 测试期间不要同时禁用多类无关服务，避免影响系统正常功能

系统跟踪法（精准度最高） #

• 启动性能监视器（perfmon.exe），新建用户定义数据收集器集
• 数据收集器类型选择「事件跟踪数据」，添加系统提供程序Microsoft-Windows-Win32k，勾选UserPreferenceChanging、DisplaySettingsChanged两类跟踪事件
• 额外添加Microsoft-Windows-Services提供程序的服务运行跟踪事件，设置好日志存储路径后启动收集器
• 当你的监控程序捕获到事件后立刻停止收集器，用事件查看器打开生成的.etl日志文件，筛选对应事件的发起进程PID，再通过tasklist /svc命令匹配PID对应的服务名称即可

临时规避方案 #

• 可以修改你现有的C#监控代码，在SystemEvents_UserPreferenceChanging回调中判断e.Category == UserPreferenceCategory.General时，尝试调用Win32 API取消事件广播，避免VMware进程接收到该事件
• 也可以直接修改对应虚拟机的.vmx配置文件，添加参数gui.fitGuestUsingNativeDisplayResolution = "FALSE"，关闭VMware自动适配宿主显示变更的逻辑

内容的提问来源于stack exchange，提问作者jwatts1980