windows - 使用 NDIS 驱动程序的自定义事件消息

Question

我正在尝试定义一些自定义事件查看器事件。我一直按照 MSDN 和其他一些在线资源中的说明进行操作，但事件查看器找不到关联的文本数据。

这是我所做的:

• 为带有事件代码和相关字符串的消息编译器创建了一个输入文件(遵循 WDK 串行驱动程序示例)。
• 在主驱动程序资源文件(MyDriver.rc)中包含消息编译器生成的.rc 文件。
• 在相关驱动模块中包含消息编译器生成的头文件。
• 使用 NdisWriteErrorLogEntry API 从包含的头文件中写入带有新 ID 的事件。
• 将驱动程序二进制文件添加到标识事件源的 Inf 注册表字符串中:

---

HKR, , EventMessageFile, 0x00020000, "%%SystemRoot%%\System32\netevent.dll; %%SystemRoot%%\System32\drivers\MyDriver.sys"
HKR, , TypesSupported,   0x00010001, 7

一切正常，除了事件查看器显示的字符串。它似乎无法识别它们并在事件描述中显示“消息资源存在，但在字符串/消息表中找不到消息”。与 WDK 示例的唯一显着区别是使用 NDIS API 而不是通用 WDM API。我也非常有信心该文本包含在驱动程序二进制文件中，因为当使用编辑器打开 .sys 文件时，我清楚地看到了我的字符串。非常感谢有关此问题的任何建议。

Answer 1

嗯，一年半后我发现了问题。显然，如果前面有空格，事件查看器注册表字符串解析器无法正确提取第二个消息文件名。

因此，为了修复它，只需要删除空格即可。即，而不是:

HKR, , EventMessageFile, 0x00020000, "%%SystemRoot%%\System32\netevent.dll; %%SystemRoot%%\System32\drivers\MyDriver.sys"

在inf文件中写入:

HKR, , EventMessageFile, 0x00020000, "%%SystemRoot%%\System32\netevent.dll;%%SystemRoot%%\System32\drivers\MyDriver.sys"