Event Tracing for Windows(ETW) - 使用事件跟踪 译(5)

最新推荐文章于 2025-06-04 21:15:06 发布
翻译 最新推荐文章于 2025-06-04 21:15:06 发布 · 526 阅读 · 0 ·
CC 4.0 BY-SA版权
原文链接：https://docs.microsoft.com/en-us/windows/win32/etw/using-event-tracing
文章标签：

#Windows #ETW #C++

本文详细介绍了如何使用ETWAPI进行事件跟踪，包括控制事件跟踪会话、注册和检测EventTraceProvider以及实现用于处理事件的回调函数。此外，还提到了Windows Software Trace Preprocessor提供的有效事件记录和使用机制。

Using Event Tracing

原文链接
作者：Microsoft
译者：塔塔塔塔塔

下面主题描述了如何使用ETW API进行事件跟踪。

主题描述
控制 事件跟踪的Session描述如何管理事件跟踪会话
提供 Event描述如何注册和检测一个Event Trace Provider
消耗 Event描述如何实现用于从跟踪日志文件或实时使用和处理事件的回调函数
Windows Software Trace Preprocessor提供一种有效的机制来记录和使用在应用程序或驱动程序执行期间发生的事件。

在Include Evntrace.h头文件之前，请include Wmistr.h头文件。

Malware Dev 04 - 隐匿之 ETW（Event Tracing for Windows）Bypass
0pr
03-06 2928
这篇文章通过对 clr.dll，advapi32.dll，以及 ntdll.dll 的简单逆向，解析了 ETW（Event Tracing for Windows）的整体调用链。之后，我们介绍了两种 ETW 的绕过方式。一种是 patch EtwEventWrite 方法，另一种是 patch NtTraceEvent 方法。同时，配合 SilkETW，我们对两种绕过方式进行了成功验证。
Production Tracing with Event Tracing for Windows (ETW) - MSBuild 2017 - Slides-计算机科学
04-22
在深入探讨使用Windows事件跟踪（ETW）进行生产跟踪这一主题之前，我们需要了解ETW技术的基本概念。ETW是一种高效率的事件记录架构，用于跟踪操作系统、驱动程序、服务、应用程序等组件的运行时行为。它通过为开发者...
(ETW) Event Tracing for Windows 入门 (含pdf下载)
weixin_34126557的博客
05-30 677
  内容提纲 • ETW 介绍 • ETW 使用 • ETW 监控本机Demo • ETW 监控远程机器的思路 • 底层类库：EventSource 介绍 • 底层类库：TraceEvent 介绍 ETW 是什么？ 1.Event Tracing for Windows (ETW)：是由操作系统提供的一种通用的，系统开销较低(与性能日志和警报相比)的事件追踪手段，用以监控具有负载...
Event Tracing For Windows
weixin_30488313的博客
09-29 252
https://blogs.msdn.microsoft.com/oanapl/2009/08/04/etw-event-tracing-for-windows-what-it-is-and-useful-tools/ https://www.codeproject.com/articles/570690/application-analysis-with-event-tracing-for-w...
Event Tracing for Windows(ETW) - 事件跟踪会话 译(4)
勿以恶小而为之，勿以善小而不为
05-13 858
Event Tracing Sessions 原文链接 作者：Microsoft 译者：塔塔塔塔塔 Controller启用Event Tracing Session从一个或多个Provider记录Event。Session还负责管理和刷新缓冲区。Controller定义会话，包括指定Session和日志文件名，要使用的日志文件的类型以及用于记录Event的时间戳的Resolution(?)。 Event Tracing最多支持同时执行64个Session。在这些Sessions中，有两个特殊目的Sessi
Event Tracing for Windows
weixin_30879169的博客
08-28 207
1 create and write the manifest.xml代码<instrumentationManifestxmlns="http://schemas.microsoft.com/win/2004/08/events"><instrumentationxmlns:xs="http://www.w3.org/2001/XMLSchema"xmln...
精选资源
Analyzing your game performance using Event Tracing for Windows-计算机科学
04-22
Event Tracing for WindowsEvent Tracing for Windows (ETW) is a kernel-level tracing mechanism that logs various system events to a log file. This log can then be viewed to debug your application or ...
How to use Event Tracing for Windows for Performance Analysis-计算机科学
04-22
How To Use Event Tracing For Windows For Performance AnalysisOutlineWhy use Event Tracing?How to use Event TracingEvent Tracing vs. PerfCountersWhat events should be loggedAn exampleThe kernel ...
Monitoring .NET Performance with Event Tracing for Windows
11-15
事件追踪Windows（Event Tracing for Windows，简称ETW）是一种高效的技术，用于在Windows、.NET框架、驱动程序和服务等环境中产生每秒数万乃至数十万条带有丰富负载和堆栈跟踪支持的日志事件。在.NET性能监控中，...
使用Windows事件跟踪(ETW)观察公共语言运行时CLR.PPT
10-16
使用Windows事件跟踪(ETW)观察公共语言运行时CLR
etwprof:基于ETW的Windows上本机应用程序的采样探查器
05-26
etwprof etwprof是一个轻量级，自包含的采样探查器，适用于Windows上的本机应用程序。 它基于（ETW）框架。 该探查器具有以下设计目标： 没有任何可安装的依赖项 轻的 处理器架构和模型无关 它必须可行才能用作技术支持工具 与Microsoft提供的基于ETW的性能分析器（例如 ， 等）不同，etwprof会执行过滤，因此可以保存仅与目标进程相关的采样配置文件数据。 与其他基于ETW的工具相比，这导致.etl输出文件小得多。 用法 etwprof是一个命令行工具。 要分析（已运行的）进程，请以管理员身份启动etwprof，然后传递PID或您要分析的可执行文件的名称。 以下示例将配置文件notepad.exe ，将生成的.etl文件写入用户的主文件夹，并且还将在开始时创建一个小型转储： etwprof profile -t=notepad.exe --outdir=%
Event Tracing for Windows(ETW) - 进行事件跟踪 译(3)
勿以恶小而为之，勿以善小而不为
05-13 3036
About Event Tracing 原文链接 作者：Microsoft 译者：塔塔塔塔塔 ETW是高性能的内核级跟踪工具，它让我们记录内核或应用定义的事件到一个日志文件。你可以是实时或从日志文件中使用Event去调试应用程序或确定应用程序的性能问题的位置。 ETW可以让我们来动态的Enable 或Disable事件跟踪，从而在生产环境执行详细的跟踪而不需要重启电脑或应用程序。 事件跟踪分为三个部分： Controllers，开启和停止Event Tracing Session 和 Enable Pro
Event Tracing for Windows(ETW) - 事件跟踪下控制器与会话 译(6)
勿以恶小而为之，勿以善小而不为
05-14 772
Controlling Event Tracing Sessions 原文链接 作者：Microsoft 译者：塔塔塔塔塔 Session 记录来自一个或多个Provider的Event。Controller定义Session并启用Provider。定义Session通常包括指定Session名字和日志文件，及要使用的日志文件的类型以及用于记录Event的时间戳的分辨率(resolution of the time stamp)。控制器还可以更新和查询Session。 以下主题演示了如何定义和更新Sessi
Event Tracing for Windows(ETW) - 配置并开始事件跟踪的会话 译(7)
勿以恶小而为之，勿以善小而不为
05-14 1519
Configuring and Starting an Event Tracing Session\ 原文链接 作者：Microsoft 译者：塔塔塔塔塔 配置Session，使用EVENT_TRACE_PROPERTIES结构体指定Session的属性。为EVENT_TRACE_PROPERTIES结构体分配的内存必须足够大，以包含结构下的的Session和日志文件名。 指定Session的属性后，调用StartTrace函数以启动Session。如果该函数成功，则SessionHandle参数将包含Se
Event Tracing for Windows(ETW) - 提供者 译(9)
勿以恶小而为之，勿以善小而不为
05-18 381
Providing Events 原文链接 作者：Microsoft 译者：塔塔塔塔塔 Provider是包含事件跟踪检测的应用程序。Provider进行注册后，Controller 便可以在Provider 中启用或禁用事件跟踪。Provider定义其对启用或禁用的解释(interpretation)。通常，启用 Provider 会生成事件，而禁用 Provider 则不会。这让我们添加事件跟踪时不需在所有时间生成事件。 本节向内容： 写Event 写相关Event 发布Evnet 概要与consum
【Windows开发】Windows 事件跟踪 (ETW)
最新发布
阿東啊、
06-04 2210
Windows 事件跟踪（ETW）是一项内置功能，最初旨在提供详细的用户和内核日志记录。如今 ETW 被开发者、安全研究者、EDR 厂商广泛使用，常见的免杀工具都实现了ETW绕过模块，例如 Havoc 具有ETW patch功能、Ladon实现了etw unhook、Github能搜到诸多相关代码。本文整理ETW的基本概念，基于 TraceLoggingAPI 实现，给出了ETW绕多的简单实现并完成了相关实验。
Event Tracing for Windows(ETW) - 前言 事件跟踪 译(1)
勿以恶小而为之，勿以善小而不为
05-12 1139
Event Tracing 原文链接 作者：Microsoft 译者：塔塔塔塔塔 意欲 ETW(Event Tracing for Windows)
Event Tracing for Windows(ETW) - 事件跟踪的新特性 译(2)
勿以恶小而为之，勿以善小而不为
05-12 729
What’s New in Event Tracing 这部分描述Windows各个版本下的ETW所添加的特性。 Windows 10, version 1709 ETW 现在可以让所有Providers在Enable Sessicon时选择跟做二进制文件。 The tracking applies retroactively for providers that were enabled to the session prior to the call, as well as for all future
MSBuild 2017：Event Tracing for Windows (ETW)生产追踪与工具详解
本文档主要探讨了在Windows操作系统中使用Event Tracing for Windows (ETW)进行生产级别的追踪技术在MSBuild 2017中的应用。ETW是一种强大的系统级性能监控工具，它允许开发者收集和分析应用程序运行时的各种事件，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值