11、深入了解 Windows 事件跟踪（ETW）与 Xperf 工具

深入了解 Windows 事件跟踪（ETW）与 Xperf 工具

1. ETW 简介

Event Tracing for Windows (ETW) 是一个用于分析应用程序行为的日志记录框架，广泛应用于 Microsoft Windows 操作系统。它能以极低的开销记录跟踪事件，为代码提供统一的检测方式。由于操作系统中的多个组件已大量使用 ETW 进行检测，所以在 Windows 中开发的任何软件都已直接或间接地使用了该框架。即便不进行显式检测，也能利用系统记录的大量事件（如进程和线程创建事件、磁盘 I/O 事件、上下文切换事件、采样分析事件等）来分析软件行为。

2. 获取 Xperf 工具

Xperf 是 Windows Performance Toolkit (WPT) 的一部分，包含在 Windows 7 SDK 中。它是免费的，且具有向后兼容性，本书使用针对 Windows 7 的 Xperf 版本。以下是安装 WPT 二进制文件到系统的步骤：
1. 挂载 ISO 文件 ：使用 Virtual Clone Drive 免费软件将 Windows SDK 7.1 ISO 文件挂载到机器的驱动器号上。
2. 打开根目录 ：右键单击新挂载的驱动器号，打开其根目录。
3. 选择安装程序 ：在 Setup 子目录下，找到适合系统架构（x86、x64 或 ia64）的 WPT 安装程序，其中包含特定架构的 xperf.exe 工具。在收集跟踪时，应始终安装和使用与系统原生架构匹配的 WPT 版本，否则在分析跟踪时可能无法解码符号。