windows – Win32_LogonSessions返回旧会话

我正在尝试使用Power Shell使用WMI查询识别记录的会话：

$logon_sess = @(gwmi win32_logonsession -ComputerName $computername)

但我看到这个命令也报告了较旧的会话,这些仍然活跃吗？我该如何重置它？

当我将结果与“query user”命令进行比较时,我看到不同的结果,因为“Query user”命令仅返回当前会话.

那么,如何使用WMI Win32_logonSession方法获得现有会话的真实结果？

您正在观察此行为,因为 Microsoft Security Bulletin MS16-111包含更改,该更新更改了Windows处理登录会话对象的方式.现在泄漏访问令牌的任何服务或应用程序(Microsoft或第三方)现在也泄漏了登录会话对象.

每次用户注销系统时,您都会泄漏登录会话对象,除了让您的服务或应用程序供应商修复其代码以使其不再泄漏令牌之外,您无法做任何事情.

https://blogs.technet.microsoft.com/askds/2017/04/05/using-debugging-tools-to-find-token-and-session-leaks/