Как в консоли (CMD) узнать, было ли инициировано завершение работы системы?

Question

[Dmitry]

Здравствуйте!
С помощью программы shutdown.exe можно инициировать перезагрузку/выключение компьютера.
Вопрос в том: как узнать, на когда запланировано выключение/перезагрузка, и что запланировано, перезагрузка/выключение?

Например, я вызвал shutdown.exe с такими ключами -r -f -t 6000, как теперь в консоли узнать, когда произойдет перезагрузка? И перезагрузка ли это будет, а вдруг выключение?

Для чего? Хочу проверку в забиксе сделать...

Comments

[Ульрих]

В консолИ

Answer 1

[landergate]

Простого API для получения такой информации не существует.

-- Можно узнать, что в системе запущен отложенный shutdown/restart:
EventLog ID 1074 (STATUS_SHUTDOWN_CLEAN) - событие о плановом рестарте (включая отложенные)
EventLog ID 1074 (WARNING_ISSE_SHUTDOWN_CANCELLED) - событие об отмене рестарта (включая отложенные)

Откладывание рестарта через shutdown /t время вызывает процесс wlmdr.exe, который рисует бабл про "Ваш сеанс работы будет прекращен. Работа Windows будет завершена через 111 мин".

Наличие свежего EventLog по ID 1074 и наличие wlmdr.exe в процессах может указывать на запланированный shutdown/restart. На этих двух условиях можно построить триггер.

-- Можно узнать, что именно будет запущено:
EventLog ID 1074 содержит строчку "Тип выключения" (Shutdown Type), в которой будет "Перезапустить" или "Выключение питания" (на англ.: reboot или shutdown).

-- Низкоуровневый способ узнать и состояние и время:
Можно проверять состояние "ShutdownInProgress" и "ShutdownTime" отладчиком, подключившись к winlogon.exe.

https://blogs.msdn.microsoft.com/ntdebugging/2007/...

Конечно это значительно более тяжёлый путь, который не очень подходит для массового выполнения заббиксом на рабочих станциях сотрудников.

Comments

[Dmitry]

в событие 1074 нету данных о том, какой параметр -t был указан:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="User32" Guid="{b0aa8734-56f7-41cc-b2f4-de228e98b946}" EventSourceName="User32" /> 
  <EventID Qualifiers="32768">1074</EventID> 
  <Version>0</Version> 
  <Level>4</Level> 
  <Task>0</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8080000000000000</Keywords> 
  <TimeCreated SystemTime="2016-05-26T17:52:49.127477700Z" /> 
  <EventRecordID>68769</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="456" ThreadID="504" /> 
  <Channel>System</Channel> 
  <Computer>WSUS</Computer> 
  <Security UserID="S-1-5-21-481101324-1246693978-2159924419-4915" /> 
  </System>
- <EventData>
  <Data Name="param1">C:\Windows\system32\shutdown.exe (WSUS)</Data> 
  <Data Name="param2">WSUS</Data> 
  <Data Name="param3">Причина на перечислена</Data> 
  <Data Name="param4">0x800000ff</Data> 
  <Data Name="param5">Перезапустить</Data> 
  <Data Name="param6" /> 
  <Data Name="param7">support</Data> 
  </EventData>
  </Event>

[landergate]

Janus74: Обычно он передаётся в param6. У Вас он пустой.
Вот как это обычно выглядит: https://i.imgur.com/E9ddojF.jpg

Предположу, что у Вас на скрине был сигнал от WSUS на мгновенный рестарт.

[Dmitry]

landergate: нет, shutdown -r -f -t 6000, пробовал на своем компе ( win 10), на доменном, и не доменном. Результат такой же

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="User32" Guid="{b0aa8734-56f7-41cc-b2f4-de228e98b946}" EventSourceName="User32" /> 
  <EventID Qualifiers="32768">1074</EventID> 
  <Version>0</Version> 
  <Level>4</Level> 
  <Task>0</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8080000000000000</Keywords> 
  <TimeCreated SystemTime="2016-05-26T18:33:30.167601300Z" /> 
  <EventRecordID>26767</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="460" ThreadID="620" /> 
  <Channel>System</Channel> 
  <Computer>DESKTOP-LO9A11R</Computer> 
  <Security UserID="S-1-5-21-3527467583-512056185-1310179951-1001" /> 
  </System>
- <EventData>
  <Data Name="param1">C:\Windows\system32\shutdown.exe (DESKTOP-LO9A11R)</Data> 
  <Data Name="param2">DESKTOP-LO9A11R</Data> 
  <Data Name="param3">Причина на перечислена</Data> 
  <Data Name="param4">0x800000ff</Data> 
  <Data Name="param5">Перезапустить</Data> 
  <Data Name="param6" /> 
  <Data Name="param7">DESKTOP-LO9A11R\user</Data> 
  </EventData>
  </Event>

[Dmitry]

landergate: на 2008r2 проверил, то же не пишет.

[landergate]

Janus74: Сори за дезинфу, EventLog действительно не пишет этой информации. param6 - это поле комментария (-c "comment").

Я обновил свой ответ с более подробным анализом темы.

[Dmitry]

landergate: видимо, самый просто способ, это указывать ключ -c и в нем писать то же что и в -t.
Перезагружать сервера планирую с помощью скрипта вызываемого из забикса, в ответ на тригер, так что ключ -c вполне приемлемо. Спасибо за вашу помощь.

[landergate]

Janus74: Да, это бы всё упростило.
Из условия вопроса я решил, что рестарты запускает кто-то другой, т.е. контроля над -c нет. =)