灰儿 发表于 2011-12-6 09:09:18

远程用户注销后生成这段日志,有专业人士给我解释下这个啊?

本帖最后由 灰儿 于 2011-12-6 10:16 编辑

每次远程登录windows 2008 R2服务器,再退出后就出现如下警告日志,有专业人士给我解释下这个啊?

日志名称:          Application
来源:            Microsoft-Windows-User Profiles Service
日期:            2011/12/5 15:42:24
事件 ID:         1530
任务类别:          无
级别:            警告
关键字:         
用户:            SYSTEM
计算机:         WIN-sq01

描述:
Windows 检测到注册表文件仍在由其他应用程序或服务使用。将立即卸载此文件。包含注册表文件的应用程序或服务以后可能无法正确运行。
详细信息 -
1 user registry handles leaked from \Registry\User\S-1-5-21-1958156886-1053990510-1543772822-1000:

Process 932 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1958156886-1053990510-1543772822-1000\Printers\DevModePerUser


事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
    <Provider Name="Microsoft-Windows-User Profiles Service" Guid="{89B1E9F0-5AFF-44A6-9B44-0A07A7CE5845}" />
    <EventID>1530</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8000000000000000</Keywords>
    <TimeCreated SystemTime="2011-12-05T07:42:24.083358200Z" />
    <EventRecordID>3027</EventRecordID>
    <Correlation />
    <Execution ProcessID="820" ThreadID="2960" />
    <Channel>Application</Channel>
    <Computer>WIN-sq01</Computer>
    <Security UserID="S-1-5-18" />
</System>
<EventData Name="EVENT_HIVE_LEAK">
    <Data Name="Detail">1 user registry handles leaked from \Registry\User\S-1-5-21-1958156886-1053990510-1543772822-1000:
Process 932 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1958156886-1053990510-1543772822-1000\Printers\DevModePerUser
</Data>
</EventData>
</Event>

难道与打印机有什么关系,可是WIN 2008 R2 没有接打印机啊?

灰儿 发表于 2011-12-6 09:12:49

详细信息 -
1 user registry handles leaked from \Registry\User\S-1-5-21-1958156886-1053990510-1543772822-1000:

Process 932 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1958156886-1053990510-1543772822-1000\Printers\DevModePerUser

解释:
第1用户注册表处理泄漏\注册表\用户\的S-1-5-21-1958156886-1053990510-1543772822-1000:

工艺932( \设备\ HarddiskVolume1 \的Windows \ System32 \ svchost.exe )已开放的关键\注册表\用户\的S-1-5-21-1958156886-1053990510-1543772822-1000\Printers\DevModePerUser

页: [1]
查看完整版本: 远程用户注销后生成这段日志,有专业人士给我解释下这个啊?