为什么Windows的事件跟踪不起作用？

Question

我正在尝试弄清楚如何使用Windows的事件跟踪...但我失败了。

为什么这段代码会给出错误代码ERROR_WMI_INSTANCE_NOT_FOUND

#include <stdio.h>
#include <tchar.h>
#include <Windows.h>
#include <Wmistr.h>
#include <Evntrace.h>
#include <evntcons.h>

ULONG NTAPI EtpEtwBufferCallback(IN PEVENT_TRACE_LOGFILE Buffer) { return TRUE; }
VOID  NTAPI  EtpEtwEventCallback(IN PEVENT_TRACE EventTrace) { }

int _tmain()
{
    LPCTSTR loggerName = KERNEL_LOGGER_NAME;
    EVENT_TRACE_LOGFILE logFile = {0};
    logFile.LoggerName = const_cast<LPTSTR>(loggerName);
    logFile.ProcessTraceMode = PROCESS_TRACE_MODE_REAL_TIME;
    logFile.BufferCallback = EtpEtwBufferCallback;
    logFile.EventCallback = EtpEtwEventCallback;
    TRACEHANDLE hTrace = OpenTrace(&logFile);
    ULONG result = ProcessTrace(&hTrace, 1, NULL, NULL);
    // result is ERROR_WMI_INSTANCE_NOT_FOUND
    _tprintf(_T("%u\n"), result);
}

Answer 1

在ProcessTrace docs中，ERROR_WMI_INSTANCE_NOT_FOUND意味着“你试图实时消费事件的会话没有运行，或者没有启用实时跟踪模式”。

您可以使用Windows Driver Kit中的tracelog启动NT内核记录器，尽管我手头没有WDK，所以我还没有尝试过它。

This article解释了如何自己启动NT内核记录器。