标题: ETW之Microsoft-Windows-Kernel-*

创建: 2017-08-25 16:20
更新:
链接: https://scz.617.cn/windows/201708251620.txt

eventvwr.msc->查看->显示分析和调试日志
eventvwr.msc->应用程序和服务日志->Microsoft->Windows->Kernel-*->Analytic->右键->启用日志

1) Kernel-Disk

--------------------------------------------------------------------------
  <EventData>
    <Data Name="DiskNumber">0</Data>
    <Data Name="IrpFlags">0x60043</Data>
    <Data Name="TransferSize">4096</Data>
    <Data Name="Reserved">0</Data>
    <Data Name="ByteOffset">3176529920</Data>
    <Data Name="FileObject">0xfffffa800e62ce10</Data>
    <Data Name="IORequestPacket">0xfffffa8013208230</Data>
    <Data Name="HighResResponseTime">326</Data>
  </EventData>
</Event>
--------------------------------------------------------------------------

IORequestPacket这个没有意义，等你看到日志的时候IRP已经销毁了。但FileObject
可能还在，可以用windbg查看。

2) Kernel-Network

--------------------------------------------------------------------------
TCPv4: 已从 127.0.0.1:23393 到 127.0.0.1:4322 传输了 21 个字节。
...
  <EventData>
    <Data Name="PID">7548</Data>
    <Data Name="size">21</Data>
    <Data Name="daddr">16777343</Data>
    <Data Name="saddr">16777343</Data>
    <Data Name="dport">57872</Data>
    <Data Name="sport">24923</Data>
    <Data Name="startime">31151725</Data>
    <Data Name="endtime">31151725</Data>
    <Data Name="seqnum">0</Data>
    <Data Name="connid">0</Data>
  </EventData>
</Event>
--------------------------------------------------------------------------

居然能看到127.0.0.1相关的Loopback报文，"netsh trace start capture=yes"以前
做不到这点，不知现在行不行？

3) Kernel-Process

--------------------------------------------------------------------------
进程 3392 使用名称 \Windows\System32\rpcrt4.dll 加载了图像。
...
  <EventData>
    <Data Name="ImageBase">0x7fefecd0000</Data>
    <Data Name="ImageSize">0x12d000</Data>
    <Data Name="ProcessID">3392</Data>
    <Data Name="ImageCheckSum">1228156</Data>
    <Data Name="TimeDateStamp">1497307770</Data>
    <Data Name="DefaultBase">0x7fefecd0000</Data>
    <Data Name="ImageName">\Windows\System32\rpcrt4.dll</Data>
  </EventData>
</Event>
--------------------------------------------------------------------------

这句，加载了图像，不是我翻译的，不要吐我，那是微软日志系统的原装货。类似这
种狗屎一样的不伦不类的翻译，在Windows里很多，微软根本顾不过来，外包翻译团
队干的吧。所以我在cmd里都chcp 437，以防不知所云。

ETW如果用好了，可能很有意义，我没深究过，这里只是顺手记录一笔备忘。