powershell:如何注销孤立的wmi事件

以下代码块将生成100个wmi事件订阅。这种特殊情况只是一个例子,只要插入键盘,就会将字符串写入文件(100次):

$KeyboardQuery = "SELECT * FROM __InstanceCreationEvent Within 1 WHERE TargetInstance ISA 'Win32_Keyboard'"
for ($i = 0; $i -lt 100; $i++) {
    Register-WmiEvent -Query $KeyboardQuery -Action {
        "A keyboard was just inserted." >> ~\event-log.txt
    }
}

在powershell中执行时,进程 WmiPrvSE.exe 消耗30%-40%的CPU。如果随后执行以下操作,则删除事件订阅并 WMIPRVSEE.EXE 降低到正常的CPU使用率或完全关闭:

Get-EventSubscriber | Unregister-Event

一切如期而至。但是,如果在运行之前关闭了powershell窗口 Get-EventSubscriber | Unregister-Event , WMIPRVSEE.EXE 不退出,并继续消耗30%-40%的CPU。插入键盘后,字符串不再写入文件。如果打开新的powershell窗口, Get-EventSubscriber 或 Get-EventSubscriber -Force 找不到事件订阅服务器。如果所有实例 WMIPRVSEE.EXE 强制关闭时,它们会重新启动并继续消耗30%-40%的CPU。 即使在注销和重新登录之后, WMIPRVSEE.EXE 继续消耗CPU。 我发现结束这些事件订阅的唯一方法是重新启动计算机。

如何结束在以前的PoS壳会话中启动的事件订阅?

更新

我发现,孤立事件订阅的CPU使用可以通过触发他们订阅的事件来结束,即使在PultSek窗口已经关闭之后它们似乎没有在操作块中运行代码。在这种情况下,关闭powershell后插入键盘会导致 WMIPRVSEE.EXE 恢复正常的行为。这就像事件订阅在等待最后一次被触发之前被清理,但现在由WMI系统本身拥有。