使用Sysinternals.ProcMon捕获C运行时函数调用

Question

有没有办法在ProcMon中捕获_stat() C运行时函数

Answer 1

不是直接的，因为(正如@Preet Sangha解释的那样)它工作在CRT级别以下。但是，它确实向您显示了一个调用堆栈，并且_stat确实访问了一个文件。因此，如果ProcMon可以访问您的可执行符号，并且您知道要监视哪个文件，那么您可能会在该文件访问的调用堆栈中看到_stat。

如果这还不够，请进一步描述您的场景。

请注意，有一些用于在代码级挂接的工具-请参阅How can I hook Windows functions in C/C++?

Answer 2

ProcMon在窗口级别拦截调用(我认为具体是NTxxxx和ZWxxxx调用)。这些都比C runt时间库低得多-所以我怀疑不是。