在windows中记录Syscalls

Question

一段时间以来，我一直在寻找在windows上实时获取syscalls的方法。我看过这里的堆叠溢出和其他地方的几个帖子，但找不到任何足够容易的东西，我可以跟随。我看过procmon，但是它的输出非常不稳定。两个系统上相同的二进制文件产生了不同数量的条目。也许我缺乏必要的知识去做这些事情。欢迎任何帮助/推荐。

我以前看过这些链接：

• windows和本机API中的系统调用？
• http://www.codeguru.com/cpp/w-p/system/devicedriverdevelopment/article.php/c8035
• http://technet.microsoft.com/en-us/sysinternals/bb897447.aspx

问候

Answer 1

根据您使用的Windows版本，您问题的答案可能是事件跟踪for Windows，它可以执行syscall日志记录[链接]

Answer 2

如果您对抽样方法感到满意，那么您可以尝试这样做：

typedef struct _THREAD_LAST_SYSCALL_INFORMATION
{
    PVOID FirstArgument;
    USHORT SystemCallNumber;

} THREAD_LAST_SYSCALL_INFORMATION, *PTHREAD_LAST_SYSCALL_INFORMATION;

THREAD_LAST_SYSCALL_INFORMATION lastSystemCall;
NtQueryInformationThread(
    hThread,
    ThreadLastSystemCall,
    &lastSystemCall,
    sizeof(THREAD_LAST_SYSCALL_INFORMATION),
    NULL
);

其中ThreadLastSystemCall = 21