EventLog。卸载EventMessageFile (DLL)

Question

我安装了NT服务并将有关'message.dll‘文件的信息添加到EvenLog的注册表中。HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application\MyApp EventMessageFile = C:\message.dll

启动服务并在EventLog查看器中查看服务的日志信息消息。工作正常。

接下来，卸载服务并尝试删除message.dll文件。失败！我收到“拒绝访问”消息框，因为此DLL已加载。

我的问题是:在我的情况下，如何正确地删除/卸载/卸载message.dll？

非常感谢，德米特里

Answer 1

Windows事件查看器使dll处于打开状态，以便读取消息。

然而，这并不是唯一可能正在读取事件日志的内容。ConnectWise、Naverisk等RMM软件也会监控事件日志，并且可以防止软件升级锁定的EventMessageFile dll文件。

当涉及第三方软件时，就像公认的答案那样关闭MMC.exe是不可行的。

为此，我找到了两种解决方法：

如Windows Event Viewer holds a lock on my EXE file中所述，

1. 停止使用EventMessageFile系统，仅使用内置EventCreate.exe作为源，而不是使用
2. 使用重新启动管理器子系统来主动重新启动第三方RMM服务