DTrace on Windows 使用教程

DTrace on Windows 使用教程

DTrace-on-Windows Code for the cross platform, single source, OpenDTrace implementation 项目地址: https://gitcode.com/gh_mirrors/dt/DTrace-on-Windows

1. 项目介绍

DTrace 是一种动态跟踪框架，它允许管理员或开发人员实时查看系统在用户模式或内核模式下的运行情况。DTrace 拥有类似 C 的高级编程语言，能够动态地插入跟踪点。利用这些跟踪点，用户可以根据条件或错误进行过滤，编写代码以分析锁模式、检测死锁等。与 ETW 相比，DTrace 提供了在运行时程序化插入跟踪点的灵活性。

Microsoft 的 DTrace on Windows 项目是基于 OpenDTrace 的跨平台实现，旨在为 Windows 操作系统提供 DTrace 功能。这个项目是 OpenDTrace 仓库的一个分支，包含了统一、跨平台的源代码，包括内核组件。

2. 项目快速启动

以下是快速启动 DTrace on Windows 的步骤：

环境要求

• Windows 10 x64 Build 1903 或更高版本

安装步骤

1. 在 Boot Configuration Data (BCD) 存储中启用 DTrace（每次安装新版本的 Windows 时都需要执行此步骤）：

   bcdedit /set dtrace on
   

2. 下载并执行 DTrace 安装程序。

3. 配置 NT_SYMBOL_PATH 环境变量以实现本地符号缓存。

4. 重启目标机器。

示例代码

启动 DTrace 并执行一些基本的跟踪命令：

dtrace -Fn "tick-5sec { exit(0);} syscall:::entry { @num[pid,execname] = count();}"

这条命令将在 5 秒内对系统调用的入口进行计数，并按进程 ID 和程序名称进行汇总。

3. 应用案例和最佳实践

以下是一些使用 DTrace 的应用案例和最佳实践：

系统调用摘要

dtrace -Fn "tick-5sec { exit(0);} syscall::entry { @num[pid,execname] = count();}"

定时器设置/取消程序

dtrace -Fn "tick-3sec { exit(0);} syscall::Nt*Timer*:entry { @[probefunc, execname, pid] = count();}"

转储系统进程内核结构

dtrace -n "BEGIN { print(*(struct nt_EPROCESS *) nt_PsInitialSystemProcess); exit(0);}"

跟踪特定应用程序的 NTFS 路径

dtrace -Fn "fbt:ntfs::/execname==\"notepad.exe\"/{}"

启动 DTrace 并执行上述命令后，您可以查看跟踪结果。

4. 典型生态项目

DTrace on Windows 作为一个开源项目，它所处的生态系统还包括以下典型项目：

• OpenDTrace: 跨平台的 DTrace 实现，为不同操作系统提供支持。
• Dynamic Tracing Guide: 提供了关于 DTrace 的详细说明，是学习 DTrace 的权威指南。
• Windows Driver Kit (WDK): 用于开发、测试和调试 Windows 驱动的工具集。

通过这些项目，开发者可以更深入地了解和使用 DTrace，提高软件的诊断和调试能力。

DTrace-on-Windows Code for the cross platform, single source, OpenDTrace implementation 项目地址: https://gitcode.com/gh_mirrors/dt/DTrace-on-Windows