Win2k8 SP2 TS > user registry handles leaked

[edvmokel 10]

Hallo zusammen.

 

Ich habe folgende Fehlermeldungen in den Windowsprotokollen.

 

Protokollname: Application

Quelle: Microsoft-Windows-User Profiles Service

Datum: 17.03.2010 09:37:01

Ereignis-ID: 1530

Aufgabenkategorie:Keine

Ebene: Warnung

Schlüsselwörter:Klassisch

Benutzer: SYSTEM

Computer: WTS1.graewe.local

Beschreibung:

Es wurde festgestellt, dass Ihre Registrierungsdatei noch von anderen Anwendungen oder Diensten verwendet wird. Die Datei wird nun entladen. Die Anwendungen oder Dienste, die Ihre Registrierungsdatei anhalten, funktionieren anschließend u. U. nicht mehr ordnungsgemäß.

 

DETAIL -

1 user registry handles leaked from \Registry\User\S-1-5-21-2282556824-1673849360-2420313905-1169:

Process 1088 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-2282556824-1673849360-2420313905-1169\Printers\DevModePerUser

 

Ereignis-XML:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">

<System>

<Provider Name="Microsoft-Windows-User Profiles Service" Guid="{89B1E9F0-5AFF-44A6-9B44-0A07A7CE5845}" EventSourceName="profsvc" />

<EventID Qualifiers="32768">1530</EventID>

<Version>0</Version>

<Level>3</Level>

<Task>0</Task>

<Opcode>0</Opcode>

<Keywords>0x80000000000000</Keywords>

<TimeCreated SystemTime="2010-03-17T08:37:01.000Z" />

<EventRecordID>27866</EventRecordID>

<Correlation />

<Execution ProcessID="0" ThreadID="0" />

<Channel>Application</Channel>

<Computer>WTS1.graewe.local</Computer>

<Security UserID="S-1-5-18" />

</System>

<EventData Name="EVENT_HIVE_LEAK">

<Data Name="Detail">1 user registry handles leaked from \Registry\User\S-1-5-21-2282556824-1673849360-2420313905-1169:

Process 1088 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-2282556824-1673849360-2420313905-1169\Printers\DevModePerUser

</Data>

</EventData>

</Event>

 

Wer kann mir helfen?

bearbeitet 17. März 2010 von edvmokel

[NorbertFe 2.281]

Wäre eventuell sinnvoller, die komplette Fehlermeldung hier reinzukopieren. Dazu gibts im Eventviewer sogar einen Button. ;)

 

Bye

Norbert

[edvmokel 10]

Hallo Norbert!

 

habe ich neu gepostet.!

[olc 18]

Hi,

 

zieh Dir vor einer Abmeldung ein "TASKLIST /SVC" und prüfe nach der Abmeldung, welcher Prozess das Problem verursacht. In dem Fall oben SVCHOST.

 

Da auf die Printer zugegriffen wird, wäre es denkbar, daß der Print-Spooler da ein Problem hat oder etwas in der Richtung.

 

Wenn es sich immer um den gleichen Schlüssel handelt, zieh einen ProcMon Trace mit Filter auf den Schlüssel und schau in den Prozess Stack.

 

Viele Grüße

olc

[edvmokel 10]

vielen Dank!

 

Werde ich mal ausprobieren!

[Dutch_OnE 40]

Habe das selbe Problem. Gibt es da eigentlich eine sinnvolle Lösung zu? Virenscanner habe ich F-Secure installiert. Bei Google findet man eigentlich nur Work Arounds.

 

Gruß DO

[Sunny61 833]

Die AV-Scanner sind IMHO meistens die Ursache dafür, solange das Profil nicht zerschossen wird dabei, irgnoriere ich diese Meldungen.