Question

我一直致力于使用API从Windows事件日志中获取事件的应用程序。我现在卡在指针偏移上。我使用的具体结构是EVENTLOGRECORD（参见：http://msdn.microsoft.com/en-us/library/aa363646(v=vs.85).aspx）。我的C＃结构定义为：

[StructLayout(LayoutKind.Sequential, CharSet = CharSet.Auto, Pack = 1)]
internal struct EVENTLOGRECORD
{
    internal UInt32 Length;
    internal UInt32 Reserved;
    internal UInt32 RecordNumber;
    internal UInt32 TimeGenerated;
    internal UInt32 TimeWritten;
    internal UInt32 EventID;
    internal UInt16 EventType;
    internal UInt16 NumStrings;
    internal UInt16 EventCategory;
    internal UInt16 ReservedFlags;
    internal UInt32 ClosingRecordNumber;
    internal UInt32 StringOffset;
    internal UInt32 UserSidLength;
    internal UInt32 UserSidOffset;
    internal UInt32 DataLength;
    internal UInt32 DataOffset;
}

我的ReadEventLog函数声明为：

[DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Auto, EntryPoint = "ReadEventLog")]
internal static extern Boolean ReadEventLog(IntPtr hEventLog, EVT_READ_FLAGS dwReadFlags, UInt32 dwRecordOffset, IntPtr lpBuffer, UInt32 nNumberOfBytesToRead, out UInt32 pnBytesRead, out UInt32 pnMinNumberOfBytesNeeded);

我能够获得填充数据的结构，我可以使用IntPtr.Add获取SourceName和ComputerName部分。例如：

IntPtr pSrc = IntPtr.Add(pRecord, Marshal.SizeOf(typeof(EVENTLOGRECORD)));
string sSrc = Marshal.PtrToStringAuto(pSrc);
Console.WriteLine("source: {0}\n", sSrc);

IntPtr pComp = IntPtr.Add(pSrc, (sSrc.Length * 2) + 2);
string sComp = Marshal.PtrToStringAuto(pComp);
Console.WriteLine("computer: {0}\n", sComp);

我的问题是尝试从结构中获取字符串部分。我似乎无法弄清楚正确的偏移是什么。我可以用C ++来做，但我似乎无法在C＃中使用它。这是我在C ++中使用的片段（elr是（EVENTLOGRECORD *）pRecord）：

char* strings = (LPSTR)((LPBYTE) elr + elr->StringOffset);
while (elr->NumStrings)
{
    wprintf(L"String: %s\n", strings);
    strings += (wcslen((wchar_t*)strings) * sizeof(wchar_t)) + sizeof(wchar_t);
    elr->NumStrings--;
}

希望有人可以帮助解释我所缺少的内容。如果有任何替代IntPtr.Add的话，我也很好奇，因为那需要.NET 4.0。无论如何我都不是p / invoke的专家。感谢。

Answer 1

您使用Marshal.PtrToStructure（）将数据块的第一部分复制到EVENTLOGRECORD，然后您应该可以执行以下操作：

EVENTLOGRECORD record;
... Copy the ptr into record ...
IntPtr pStrings = IntPtr.Add(pRecord, (record.StringOffset * 2));

我很乐意为你做这件事，但是我懒得去做所有其他的p / invoke位，这样就可以进行ReadEventLog调用。

Answer 2

经过一段时间远离编码清除大脑，我终于有了解决方案。我错误地使偏移量太大，因为我采用结构的大小（EVENTLOGRECORD），将其添加到StringOffset，然后将其添加到现有对象。我真正需要做的就是将偏移量添加到现有的IntPtr（pRecord）中。不知道为什么之前没有点击过。

如此简单地做：

int offset = ((int)(((EVENTLOGRECORD)o).StringOffset));
IntPtr pStrings = IntPtr.Add(pRecord, offset);
string sString = Marshal.PtrToStringAuto(pStrings);
Console.WriteLine("string : {0}\n", sString);

..足以获得字符串。谢谢你的助攻。我显然缺乏代表标记建议有帮助。猜猜我只需要时间。

Answer 3

要问可能为时已晚。你为什么不使用.NET的System.Diagnostics.EventLog类？据我所知，你遇到了EventLog类的问题。您是否尝试过适用于Windows Vista Vista及更高版本的EventLogReader类？

使用Reflector，您还可以了解他们如何进行编组。看起来不可能让编组人员完成全部工作。它们将数据读入一个简单的字节数组，并将其存储在EventLogEntry类中，该类直接从字节数组中读取所需的数据。

要读取它们在EventLogEntry类中执行的替换字符串。 databuf成员是本机ReadEventLog调用的字节数组。

[MonitoringDescription("LogEntryReplacementStrings")]
public string[] ReplacementStrings
{
    get
    {
        string[] strArray = new string[this.ShortFrom(this.dataBuf, this.bufOffset + 0x1a)];
        int index = 0;
        int offset = this.bufOffset + this.IntFrom(this.dataBuf, this.bufOffset + 0x24);
        StringBuilder builder = new StringBuilder();
        while (index < strArray.Length)
        {
            char ch = this.CharFrom(this.dataBuf, offset);
            if (ch != '\0')
            {
                builder.Append(ch);
            }
            else
            {
                strArray[index] = builder.ToString();
                index++;
                builder = new StringBuilder();
            }
            offset += 2;
        }
        return strArray;
    }
}

此致， Alois Kraus

在C＃中使用指针偏移

3 个答案: