如何记录由Windows上的进程启动的所有CreateProcess调用？

Question

我有一个脚本"build.bat"，它可以在里面启动任意进程。如何记录来自内部所有进程的所有CreateProcess调用？

在Linux上，我可以运行它来完成相同的任务：

strace ./myprogram | grep CreateProcess > log

Windows有简单的(CLI)解决方案吗？

Answer 1

虽然它不是CLI工具，但微软SysInternals的SysInternals允许您这样做。在这里，您可以跟踪一个进程创建的所有系统(或者更确切地说是:所有进程)，类似于strace在Linux/etc上所做的事情。但是，与与程序一起启动它相反，您单独启动它。

如果您已经习惯了Linux，那么理解界面的工作原理就有点笨拙了(特别是在过滤方面)，而且在我看来，它的用户体验肯定比strace差得多。尽管如此，对我来说，它一直是Windows上的一个宝贵的开发工具。

当你做一些无关的事情时，不要让它在捕获模式下运行，否则它会收集大量的数据。(可能还会拖慢你的系统。)