Kuinka korjata WMI-palveluntarjoajan isännän korkea suorittimen käyttö

Si WMI-palveluntarjoajan isäntä kuluttaa paljon prosessoria Jos WMI toimii useita minuutteja, se ei yleensä tarkoita, että WMI olisi rikki. Useimmiten sovellus, palvelu, ohjain tai komentosarja tekee liian monta kyselyä, mikä pakottaa järjestelmän toimimaan useita minuutteja. WmiPrvSE.exe käsittelemään niitä jatkuvasti.

WMI:n poistaminen käytöstä tai sen tietovaraston poistaminen ei ole ensimmäinen askel. Ratkaisuun kuuluu sen tunnistaminen, mikä WmiPrvSE.exe-instanssi käyttää paljon resursseja, sen lataaman palveluntarjoajan määrittäminen ja kyselyitä luovan asiakasprosessin paikantaminen.

WMI on osa Windowsia ja sen avulla järjestelmä ja hallintatyökalut voivat tehdä kyselyitä prosesseista, palveluista, levyistä, verkkosovittimista, tapahtumalokeista ja muista komponenteista. WmiPrvSE.exe toimii isäntänä palveluntarjoajille, jotka toimittavat nämä tiedot tai suorittavat tiettyjä toimintoja.

Mikä on WMI-palveluntarjoajan isäntä ja mihin sitä käytetään?

Windowsin hallintainstrumentointiWindows Management Interface (WMI), joka tunnetaan myös nimellä Windows Management Information System (WMS), on Windowsin infrastruktuuri, joka on suunniteltu tarjoamaan tietoja ja hallinnollisia toimintoja. Sovellukset ja komentosarjat voivat käyttää sitä järjestelmän tilan kyselyyn, prosessien luettelointiin, palveluiden tarkasteluun, levytietojen hankkimiseen tai hallinnollisten tehtävien automatisointiin.

Sen toimintaan kuuluu kolme pääelementtiä:

• WMI-asiakas: sovellus, palvelu tai komentosarja, joka pyytää tietoja tai suorittaa toiminnon.
• Winmgmt-palvelu: Se toimii välittäjänä asiakkaiden, toimittajien ja WMI-arkiston välillä.
• WMI-palveluntarjoaja: komponentti, joka hakee tiedot hallitulta elementiltä ja vastaa kyselyyn.

Prosessi WmiPrvSE.exe Se isännöi yhtä tai useampaa WMI-palveluntarjoajaa. Näiden palveluntarjoajien jakaminen isäntäprosesseihin auttaa estämään yhden niistä epäonnistumisen vaikuttamasta suoraan pääpalveluun.

Tästä syystä voi olla useita WmiPrvSE.exe-tiedoston esiintymiä käynnissä samanaikaisesti. Tämä tilanne ei sinänsä tarkoita, että kyseessä on virhe tai tartunta.

Laillinen tiedosto sijaitsee yleensä:

C:\Windows\System32\wbem\WmiPrvSE.exe

Siinä on myös oltava voimassa oleva Microsoftin digitaalinen allekirjoitus. Jos tiedoston nimi näkyy Lataukset-, Väliaikaistiedosto-, Sovellustiedot- tai muussa odottamattomassa paikassa, se tulisi tarkistaa Windowsin suojausohjelmalla.

Miten selvittää, onko suorittimen käyttö todella epänormaalia

Lyhytaikainen piikki WmiPrvSE.exe-tiedostosta ei välttämättä tarkoita ongelmaa. Se voi ilmetä diagnostiikkatyökalua avattaessa, sisäänkirjauduttaessa, päivitystä asennettaessa, laitteistotietoja tarkistettaessa tai valvontasovellusta suoritettaessa.

Sinun tulisi tutkia sitä syödessäsi:

• Se pysyy koholla useita minuutteja ilman näkyvää tehtävää.
• Se toistuu säännöllisin väliajoin ja aiheuttaa hidastumista.
• Se kasvaa tiettyä sovellusta tai palvelua käynnistettäessä.
• Se saa tuulettimet käymään jatkuvasti suurella nopeudella.
• Palaa heti tietokoneen uudelleenkäynnistyksen jälkeen.
• Siihen liittyy usein WMI:hin liittyviä virheitä.

Ei ole olemassa yleismaailmallista prosenttiosuutta, joka määrittäisi, milloin WMI toimii virheellisesti. 20 % voi olla merkittävä moniydinprosessorilla, kun taas korkeampi huippu voi olla normaali tietyn tehtävän aikana. Tärkeintä on tarkkailla. kesto, tiheys ja aktiivisuus, joka on samaan aikaan kasvun kanssa.

Jatkuva suorittimen käyttö voi myös nostaa suorittimen lämpötilaa, mutta tämä lämpö on seurausta kuormituksesta, ei todiste siitä, että WMI tai laitteisto on vaurioitunut. Jos epäilet, että tietokoneesi menettää suorituskykyään ylikuumenemisen vuoksi, voit tarkistaa jos Windows rajoittaa suorittimen suorituskykyä.

Yleisiä syitä WmiPrvSE.exe-tiedoston runsaaseen käyttöön

WmiPrvSE.exe saattaa kuluttaa suorittimen tehoa, koska se käsittelee suuren määrän pyyntöjä. Monissa tapauksissa tämä johtuu siitä, että pyyntöjä lähettävä asiakasohjelma tai palveluntarjoaja vastaa liian hitaasti.

Yleisimpiä syitä ovat:

• Seurantatyökalut: sovellukset, jotka jatkuvasti kyselevät lämpötiloja, tietoja, palveluita, varastoa tai suorituskykyä.
• Valmistajan apuohjelmat: ohjelmat, jotka on suunniteltu ohjaamaan tuulettimia, valaistusta, virransyöttöä tai laitteiden komponentteja.
• Hallinnolliset komentosarjat: PowerShell-tehtävät tai liiketoimintasovellukset, jotka suorittavat WMI-kyselyitä liian usein.
• Vialliset toimittajat tai valvojat: Laitteeseen tai sovellukseen liittyvä DLL-tiedosto voi kaatua tai toimia tehottomasti.
• Liikkeenjohdon ohjelmistot: Varastoagentit, tietoturva, varmuuskopiot tai etävalvonta voivat aiheuttaa huomattavan taakan.
• Epäjohdonmukainen WMI-säilö: Se on mahdollista, mutta se kannattaa tarkistaa ennen korjausta.
• Haitallinen toiminta: Jotkut hyökkäykset käyttävät WMI:tä toimintojen suorittamiseen tai pysyvyyden ylläpitämiseen, vaikka suuri kulutus ei sinänsä todista haittaohjelman olemassaoloa.

Syy voi löytyä myös palvelusta. WinmgmtTämä sijaitsee yleensä `svchost.exe`-prosessissa. Siksi on tärkeää tarkistaa, mikä prosessi käyttää suoritinta ennen ratkaisun käyttöönottoa.

WMI:tä ylikuormittavan ohjelman diagnosointi

Diagnostiikkaprosessin on noudatettava oikeaa järjestystä. WmiPrVSE.exe-tiedoston sulkeminen saattaa tilapäisesti vähentää resurssien käyttöä, mutta se ei tunnista kyselyitä aiheuttavaa ohjelmaa, ja Windows saattaa käynnistää prosessin uudelleen.

1. Tunnista suorittimen tehoa kuluttava PID

Avaa Task Manager -sovelluksella Ctrl + Vaihto + Esc, siirry välilehdelle Tiedot ja etsi `WmiPrvSE.exe`-tiedoston esiintymät. Lajittele CPU-sarake ja huomioi PID-tunnus tapauksessa, joka ylläpitää korkeaa kulutusta.

Jos PID-sarake ei tule näkyviin, napsauta hiiren kakkospainikkeella otsikoita ja kirjoita Valitse sarakkeet ja aktivoi prosessitunniste.

Useiden instanssien esiintyminen on normaalia. Sinun tulisi keskittyä vain siihen, joka käyttää resursseja johdonmukaisesti.

Jos käyttötapa näkyy WMI-palvelua mahdollisesti isännöivässä `svchost.exe`-tiedostossa, avaa konsoli järjestelmänvalvojana ja suorita:

tasklist /svc /fi "Services eq Winmgmt"

Tuloksena näkyy Winmgmt-palvelun sisältävän `svchost.exe`-prosessin PID.

2. Etsi aiheeseen liittyvää toimintaa Tapahtumienvalvonnassa

Avaa Tapahtumienvalvonta ja käytä:

Sovellus- ja palvelulokit > Microsoft > Windows > WMI-toiminta > Toiminnallinen

Tarkista suorittimen piikin kanssa samaan aikaan luodut tapahtumat. Hyödyllisimpiä niistä ovat yleensä:

• Tapahtuma 5857: Voit määrittää käynnistyneen palveluntarjoajan, isäntäprosessin ja polun DLL-tiedostoosi.
• Tapahtuma 5858: Se tallentaa virheeseen päättyneet toiminnot ja voi sisältää kenttiä, kuten ClientProcessId, operaatio ja nimiavaruus.

Kun `ClientProcessId` tulee näkyviin, vertaa sitä Tehtävienhallinnan PID-sarakkeeseen. Tee tämä niin kauan kuin ongelma jatkuu, koska prosessit voidaan lopettaa ja Windows voi käyttää niiden tunnisteita uudelleen.

Kaikki suorittimen suuren käytön tapaukset eivät luo 5858-tapahtumaa. Jos toimintaloki ei mahdollista vastuullisen osapuolen löytämistä, sinun on käytettävä jäljityslokia tai lisätyökalua.

3. Tunnista palveluntarjoaja Process Explorerin avulla

Purkaus Prosessien hallinta Suorita Microsoft Sysinternals -ohjelma järjestelmänvalvojana ja etsi muistiin merkitsemäsi WmiPrvSE.exe-tiedoston PID.

Avaa sen ominaisuudet ja siirry välilehdelle WMI-palveluntarjoajatSieltä löydät:

• Ladatun toimittajan nimi.
• Käytetty WMI-nimiavaruus.
• Polku vastaavaan DLL-tiedostoon.

Yksi instanssi voi isännöidä useita palveluntarjoajia. Ladatun DLL-tiedoston tietäminen ei automaattisesti tunnista syyllistä asiakasohjelmaa, mutta sen avulla voit linkittää kulutuksen ohjaimeen, Windows-toimintoon tai asennettuun sovellukseen.

4. Kaappaa kyselyt WMIMonin tai WMI Tracen avulla

Tarkemman diagnoosin saamiseksi voit käyttää WMIMonTämä työkalu, joka mainitaan Microsoftin diagnostiikkadokumentaatiossa, mahdollistaa WMI-kutsujen, asiakkaan PID:n, käyttäjän, nimiavaruuden ja kyselyn kohteena olevan luokan tarkastelun.

Kun olet ladannut sen arkistosta, avaa konsoli järjestelmänvalvojana vastaavassa kansiossa ja suorita:

WMIMon.exe

Jos haluat tallentaa tuloksen myöhempää tarkastelua varten:

WMIMon.exe > Data.txt

Lehdistö Ctrl + C pysäyttämään kaappauksen.

Voit myös ottaa jäljityslokin väliaikaisesti käyttöön Tapahtumienvalvonnassa:

1. Avaa valikko Katso ja aktivoi Näytä analyyttiset ja virheenkorjauslokit.
2. Siirry kohtaan Microsoft > Windows > WMI-toiminta.
3. Aktivoi rekisteröinti Jäljittää.
4. Se toistaa suuren kulutuksen ja tallentaa tallennetut tapahtumat.
5. Poista jäljityslokitoiminto käytöstä lopussa, jotta vältät tarpeettoman datan syntymisen.

Näissä tapahtumissa voit hakea `ClientProcessId`-tunnistetta, suoritettua kyselyä, WMI-luokkaa, palveluntarjoajaa ja toiminnon aloittanutta käyttäjää.

Mitä tehdä vastuullisen henkilön tunnistamisen jälkeen

Kun olet löytänyt aktiviteettiin liittyvän asiakkaan, toimittajan tai sovelluksen, käytä ratkaisua kyseiseen komponenttiin:

Lähde havaittu	Suositeltu toimenpide
Seurantaohjelma	Pidennä konsultaatioväliä, poista tarpeettomat anturit käytöstä tai päivitä sovellus.
Valmistajan hyödyllisyys	Päivitä se, korjaa sen asennus tai poista se väliaikaisesti vahvistaaksesi syyn.
PowerShell-skripti	Tarkista silmukat, liian laajat kyselyt ja suoritustiheys.
Rekisterinpitäjään liittyvä palveluntarjoaja	Päivitä tai asenna ohjain uudelleen Windows Updatesta tai valmistajan verkkosivuilta.
Liiketoiminnan edustaja	Tarkista käytäntösi, varastosi ja tutkimusjaksosi ylläpitäjän kanssa.
Tuntematon sovellus	Tarkista sen sijainti, digitaalinen allekirjoitus ja analysoi järjestelmä ennen sen uudelleen suorittamista.

Jos et pysty tunnistamaan sitä, suorita puhdas alku Tarkistaaksesi, onko kyseessä kolmannen osapuolen palvelu, piilota ensin kaikki Microsoftin palvelut `msconfig`-tiedostosta, poista loput käytöstä ja poista käynnistyssovellukset tilapäisesti käytöstä. Ota sitten kohteet uudelleen käyttöön yksi kerrallaan, kunnes löydät syyllisen.

Kuinka korjata WMI vahingoittamatta järjestelmää

Tietokoneen uudelleenkäynnistäminen saattaa ratkaista tilapäisen jumiutumisen. Voit myös käynnistää Windows Management Instrumentation -palvelun uudelleen, mutta tämä pysäyttää tilapäisesti WMI:tä käyttävät sovellukset ja palvelut. Sitä ei tule käyttää pysyvänä ratkaisuna, jos ongelma toistuu.

Ennen kuin muokkaat arkistoa, korjaa Windowsin levykuva ja suojatut tiedostot konsolista järjestelmänvalvojan oikeuksilla:

DISM.exe /Online /Cleanup-Image /RestoreHealth

Kun DISM on valmis, suorita:

sfc /scannow

Jos WMI näyttää edelleen virheitä ja on olemassa todellisia merkkejä siitä, että arkisto on vioittunut, tarkista sen johdonmukaisuus:

winmgmt /verifyrepository

Toimi tuloksen mukaan:

• Repositorio on johdonmukainen: Älä nollaa sitä. Jatka vastuussa olevan sovelluksen, palvelun tai palveluntarjoajan etsimistä.
• Arkisto on epäjohdonmukainen: yritä saada se takaisin winmgmt /salvagerepository.
• Palautus epäonnistuu: winmgmt /resetrepository Se palauttaa arkiston alkuperäiseen tilaansa ja se tulisi varata perustelluille tapauksille tai teknisen tuen osoittamille tapauksille.

Microsoft varoittaa nimenomaisesti, että WMI-säilöä ei pitäisi poistaa manuaalisesti ensimmäisenä toimenpiteenä.koska tämä voi vahingoittaa Windowsia tai asennettuja sovelluksia.

Kuinka tarkistaa, onko WmiPrvSE.exe virus

Alkuperäinen WMI-palveluntarjoajan isäntä on laillinen Windows-komponentti. Prosessin tarkistamiseksi:

1. Avaa Tehtävienhallinta ja siirry kohtaan Tiedot.
2. Palkki Napsauta hiiren kakkospainikkeella `WmiPrvSE.exe`-tiedostoa..
3. Valitse Avaa tiedoston sijainti.
4. Tarkista, että se on sisällä C:\Windows\System32\wbem.
5. Avaa sen ominaisuudet ja varmista, että sillä on kelvollinen Microsoftin digitaalinen allekirjoitus.

Jos sijainti tai allekirjoitus ei täsmää, suorita täysi tarkistus Windowsin suojauksella. Jos sinulla on muita oireita, kuten tuntemattomia prosesseja, virustorjuntaohjelmien poissulkemisia, joita et ole luonut, tai epäilyttäviä yhteyksiä, voit käyttää myös Microsoft Defenderin offline-tarkistusta.

Sovelluksen laillinen WMI:n käyttö ei takaa sovelluksen turvallisuutta, mutta WmiPrVSE.exe:n runsas käyttö ei sinänsä todista tartuntaa.

Mitä ei kannata tehdä kulutuksen vähentämiseksi

Jotta väliaikainen ratkaisu ei aiheuttaisi suurempia ongelmia:

• Älä poista Winmgmt-palvelua pysyvästi käytöstä.
• Älä poista tai nimeä uudelleen WmiPrvSE.exe-tiedostoa.
• Älä poista WMI-arkiston kansiota manuaalisesti.
• Älä juokse winmgmt /resetrepository ensimmäisenä ratkaisuna.
• Älä lopeta kaikkia WmiPrSE.exe-instansseja tunnistamatta, mikä niistä kuluttaa resursseja.
• Älä asenna väitettyjä WMI-korjaustyökaluja tuntemattomilta verkkosivustoilta..

Ongelmallisen instanssin sulkeminen voi toimia tilapäisenä ratkaisuna, mutta Windows voi käynnistää sen uudelleen. Jos asiakas jatkaa samojen pyyntöjen lähettämistä, ongelma palaa.

WMI yritystiimeissä, Hyper-V:ssä ja virtuaaliympäristöissä

Hallittavissa järjestelmissä WMI voi vastaanottaa kyselyitä inventaario-, valvonta-, tietoturva- tai etähallinta-alustoilta. Hyper-V tarjoaa myös hallintatietoja ja toimintoja WMI-palveluntarjoajien kautta.

Kun kulutus näkyy yrityksen palvelimella tai tietokoneella, tarkista erityisesti seuraavat asiat:

• Valvonta-agentit asennettu äskettäin.
• Muutokset varasto- tai turvallisuuskäytännöissä.
• Ajoitetut komentosarjat, jotka suoritetaan palvelutilien avulla.
• Liian lyhyet mittausvälit.
• Virtualisointi- tai hallintatyökaluilla lisätyt palveluntarjoajat.

Älä poista näiden agenttien asennusta keskustelematta ensin järjestelmänvalvojan kanssa. Tällaisissa järjestelmissä on erityisen hyödyllistä tallentaa käyttäjätunnus, asiakasprosessi, kysely ja toimittaja WMIMonin tai jäljityslokin avulla.

Usein kysytyt kysymykset WMI-palveluntarjoajan isännöinnistä

Onko WMI-palveluntarjoajan isäntä virus?

Ei. WMI-palveluntarjoajan isäntä on laillinen Windows-komponentti. Alkuperäinen tiedosto sijaitsee paikassa C:\Windows\System32\wbem ja Microsoft on allekirjoittanut sen. Sinun pitäisi olla epäileväinen, jos samanniminen tiedosto näkyy toisessa kansiossa tai ilman kelvollista allekirjoitusta.

Onko normaalia, että WmiPrvSE.exe-prosesseja on useita?

Kyllä. Windows voi suorittaa useita instansseja eri palveluntarjoajien isännöimiseksi tai erotella ne tilin ja suojaustason perusteella. Pelkkä prosessien määrä ei ratkaise, onko vika olemassa.

Voinko lopettaa WMI Provider Hostin Tehtävienhallinnasta?

Voit lopettaa instanssin väliaikaisesti, mutta jotkin kyselyt tai sovellukset lakkaavat toimimasta ja Windows saattaa käynnistää sen uudelleen. On parasta ensin tunnistaa sen PID ja aktiviteetin luova asiakas.

Miksi se alkaa kuluttaa prosessoria uudelleenkäynnistyksen jälkeen?

Koska WmiPrvSE.exe-tiedoston uudelleenkäynnistäminen ei korjaa kyselyitä tekevän sovelluksen, komentosarjan tai palveluntarjoajan ongelmia, isäntäprosessin on käsiteltävä pyyntönsä uudelleen, kun asiakas muodostaa yhteyden uudelleen.

Pitäisikö minun nollata WMI-arkisto?

Vain jos winmgmt /verifyrepository Tämä osoittaa, että järjestelmä on epäjohdonmukainen, eivätkä vähemmän invasiiviset toimenpiteet ratkaise ongelmaa. Korkea suorittimen käyttöaste ei sinänsä todista, että arkisto on vioittunut.

Miten löydän ohjelman, joka laukaisee kulutuksen?

Kirjaa muistiin WmiPrvSE.exe-instanssin PID, tarkista WMI-Activity Tapahtumienvalvonnassa ja tunnista toimittaja Prosessiselaimella. Jos sinun on linkitettävä kyselyt niiden asiakasprosessiin, käytä WMIMonia tai ota WMI-Activity/Trace käyttöön väliaikaisesti.

Useimmat tapaukset ratkeavat päivittämällä, korjaamalla tai uudelleenmäärittämällä ohjelma, joka lähettää liikaa kyselyitä. WMI-palveluntarjoajan isäntä on yleensä kuormitusta heijastava prosessi, ei välttämättä kuormituksen aiheuttava komponentti.