调用跟踪Windows驱动程序

StackOverflow https://stackoverflow.com/questions/1834261

题

我希望能够实时记录内核模式驱动程序的活动（我有完整的符号）。这是一个隐藏的迷你驾驶员。我希望在此驱动程序中记录呼叫的执行（每次IRP进入并离开驱动程序时，请堆叠）。

这是否可能（也许是EWT和/或WPT）？

有帮助吗？

解决方案

ETW跟踪怎么样？ MS在Windows内部使用它。它也会为您提供呼叫堆栈。

这里是 关联

其他提示

如果您只需要监视IRP，则可以使用 IRP跟踪器实用程序.

许可以下： CC-BY-SA 和 归因
不隶属于 StackOverflow
scroll top