Службы - Журнал событий Windows не работает

[Petya V4sechkin]

simsim


Цитата:



Команда остановки была отправлена службе, от которой зависят другие



Вот интересно, какую тогда службу оно пытается остановить (при том, что winmgmt мы уже тормознули). Очень досадно, что нельзя посмотреть это в журнале событий

Может, попробовать постепенно отключать некритичные службы (предварительно запомнив их состояние, чтобы потом восстановить)?






Цитата:



невозможно назначить (определить) владельца файла C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTDiagLog.etl



Может, проделать все операции по изменению владельца и разрешений на папку System32\LogFiles (и все вложенные объекты) в безопасном режиме, отключив службу winmgmt?

[SimSim]

Цитата:



Очень досадно, что нельзя посмотреть это в журнале событий



Вот именно. Иногда оччччень хочется узнать чем это Виста занимается во-время притормаживания.


Цитата:



Может, проделать все операции по изменению владельца и разрешений на папку System32\LogFiles (и все вложенные объекты) в безопасном режиме, отключив службу winmgmt?



Пробовал. Ничего не получатся. Активировал и встроенного администратора. Результат отрицательный.

Неужели у всех работает журнал событий?

[Vancouver]

Просто в безопасном режиме переименуйте папку LogFiles в LogFiles.old

[SimSim]

Vancouver
Цитата:



Просто в безопасном режиме переименуйте папку LogFiles в LogFiles.old



Результат - нет доступа к файлу C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTDiagLog.etl, в чём я и так был уверен. Перепроверка не помешала.



Petya V4sechkin Попробовал повторно перезагрузить WMI, предварительно отключив UAC. На этот раз база восстановилась нормально, но... по-прежнему журнал событий не запускается.

Просмотрев состояние Журнала событий в службах обнаружил, что служба "остановлена" Попытка запуска даёт ошибку 4201.

Обнаружено, что вход в систему этой службы настроен с учётной записью Local Service, а не с системной учётной записью. Изменить невозможно.

Исполняемый файл C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted

В параметрах запуска пусто.

Где ещё что-то можно подправить?



P.S.Отзовитесь у кого работает служба Журнал событий.

[Vancouver]

У меня работает. Мне помогло переименование папки LogFiles.

Эта ошибка происходит когда Вы переназначаете права доступа к диску С:

[SimSim]

Vancouver Вотэтот единственный файл EtwRTDiagLog.etl и не даёт переименовать папку. "У вас нет прав доступа на изменение атрибутов этого файла" Всё что я могу видеть на вкладке безопасность.

[Vancouver]

Вариант:

Открыть Свойства папки C:\Windows\System32\LogFiles - открой закладку Безопасности, и нажми кнопку "Дополнительно" открой вкладку Владелец, а затем нажми кнопку Изменить на Администратора (или пользователя). Во вкладке"Изменить владельца" поставь галку "заменить владельца на subcontainers и объектов" и нажимай кнопку "Продолжить" на все сообщения об ошибке, закрой все открытые окна.Перезагрузись.

[SimSim]

VancouverВ том-то и дело, что владелец всех файлов в этой папке определён, за исключением вышеуказаного. Причём открывая вкладку безопасность любого файла, сразу открывается окно с перечнем групп и пользователей. А при открытии вкладки безопасность файла EtwRTDiagLog.etl сообщается "У вас нет разрешения на просмотр и изменение текущих разрешений для даного объекта. При нажатии "доолнительно" и попытке назначить владельца - "отказано в доступе". И в безопасном режиме аналогично.

[Vancouver]

Приведенный мною вариант, пременяется ко Всей Папке. Независимо от установленных разрешений для файлов находящихся внутри её.

И нажимай кнопку "Продолжить" на все сообщения об ошибке "У вас нет разрешения на просмотр и изменение текущих разрешений для даного объекта".

[Petya V4sechkin]

simsim

Интересно было бы посмотреть от имени SYSTEM разрешения (т. е. запустить какой-нибудь файловый менеджер от имени SYSTEM).

Это можно сделать с помощью планировщика заданий, например:



Код:

Код: Выделить всё

at 12:17 /interactive C:\Totalcmd\Totalcmd.exe

Но терзают смутные сомнения, что планировщик заданий тоже не работает (как раз из-за журнала событий). Тогда можно зарегистрировать службу. Например, с помощью

Instrsrv.exe + Srvany.exe

или оболочки

Any Service

(не знаю, сработает ли оно на Висте, но почему бы и нет). А, еще

PsExec

есть.