我们有一个自动部署工具,每天晚上9:00在生产服务器上自动安装最新版本的软件。这已经运作了很长一段时间了。
最近,我开始注意到,每次安装软件时,Application日志都会在安装完成时清空。我不敢相信我们的应用程序会这么做,因为我们没有任何代码来清除事件日志。我们确实会将条目记录到应用程序事件日志,但这已经有几年没有改变了。
我检查了系统事件日志,发现一个事件指示应用程序事件日志已被清除:“应用程序日志文件已被清除。”当我检查事件的细节时,我确定svchost.exe是基于进程ID清除它的服务。清除它的用户是NT权限\系统。
我检查了在清除事件日志的进程ID下运行的服务,其中有三个服务:
D