wtrace完全指南：Windows系统终极ETW追踪工具入门教程

【免费下载链接】wtraceCommand line tracing tool for Windows, based on ETW.项目地址: https://gitcode.com/gh_mirrors/wt/wtrace

wtrace是一款基于ETW（事件跟踪）技术的Windows命令行追踪工具，能够帮助用户深入了解系统活动，包括文件I/O、注册表操作、TCP/IP连接和RPC调用等关键事件。本教程将带你快速掌握这款强大工具的安装方法、核心功能和实用技巧，让你轻松监控系统行为，排查问题。

快速安装：两种简单方法

wtrace支持Windows 8.1及以上系统，且需要.NET 4.8.x环境。以下是两种便捷的安装方式：

方法一：直接下载可执行文件

访问项目发布页面下载最新版单文件应用，无需复杂配置，下载后即可运行。

方法二：使用Chocolatey包管理器

如果你已安装Chocolatey，只需在命令行中输入以下命令：

choco install wtrace

三大追踪模式：满足不同场景需求

wtrace提供灵活的追踪目标选择，可根据实际需求精准定位监控对象。

系统统计模式（-s）

使用-s选项开启系统统计模式，专注收集ISR/DPC（中断服务例程/延迟过程调用）和进程事件，会话结束时生成详细统计报告和进程树。适合系统性能分析和进程关系梳理。

全系统追踪

直接运行wtrace不带任何参数即可启动全系统追踪。由于事件量较大，建议配合过滤条件使用，例如：

# 仅显示所有进程的文件写入事件 wtrace --handlers file -f 'eventname=FileIO/Write'

添加--nosummary选项可关闭统计功能，降低内存占用，适合长时间追踪。

进程级追踪（含子进程）

追踪运行中进程

通过进程ID指定目标：

# 追踪PID为1234的进程及其子进程的文件I/O操作 wtrace -f "name >= FileIO/" -c 1234

启动并追踪新进程

直接指定可执行文件路径及参数：

# 启动记事本并追踪其打开test.txt文件的过程 wtrace notepad c:\temp\test.txt

-c选项可同时追踪目标进程创建的所有子进程。

强大过滤功能：精准锁定关键事件

wtrace提供灵活的事件过滤机制，通过-f/--filter选项实现精细化监控。

过滤关键字

支持以下事件字段过滤：

• pid：进程ID（系统级追踪时尤为有用）
• pname：进程名称
• name：事件名称（如FileIO/Write）
• level：事件级别（1-5，从严重到调试）
• path：事件路径（如文件路径、注册表路径）
• details：事件详细信息

操作符说明

过滤组合规则

• 相同关键字的多个过滤条件为"或"关系
• 不同关键字的过滤条件为"与"关系

示例：

# 追踪名称为notepad或notepad2且路径以d:\temp开头的事件 wtrace -f "pname = notepad" -f "pname = notepad2" -f "path >= d:\temp"

事件处理器：自定义监控范围

通过--handlers选项指定启用的事件处理器，精准控制监控内容。默认启用process、image、file、rpc、tcp和udp处理器。

可用处理器列表

• process：进程/线程生命周期事件（始终启用）
• file：文件I/O事件
• registry：注册表操作事件（事件量大，默认禁用）
• rpc：RPC调用事件
• tcp：TCP网络事件
• udp：UDP网络事件
• image：模块加载/卸载事件（RPC端点解析必需）

使用示例

# 仅追踪注册表和TCP事件 wtrace --handlers registry,tcp

RPC事件解析：深入了解进程通信

wtrace能解析RPC（远程过程调用）事件，显示端点名称、接口ID和过程索引：

14:14:53.3295 firefox (12572.21620) RPC/ClientCallEnd 'fb8a0729-2d04-4658-be93-27b4ad553fac (lsapolicylookup) [5]' -> SUCCESS

如需解析RPC过程名称，需确保image处理器已启用并配置符号路径：

wtrace --symbols="SRV*C:\symbols\*https://msdl.microsoft.com/download/symbols" -v notepad.exe

成功解析后，摘要中会显示过程名称：

-------------------------------- RPC (client calls) -------------------------------- fb8a0729-2d04-4658-be93-27b4ad553fac (ncalrpc:[lsapolicylookup]) [5]{LsaLookuprGetDomainInfo} calls: 2

常见问题解决

会话未正常结束

若出现"session did not finish in the allotted time"警告，可使用logman工具手动停止ETW会话：

logman stop wtrace-rt -ets

事件丢失警告

"events were lost"提示表明事件量过大，建议：

• 添加更严格的过滤条件
• 禁用不需要的事件处理器
• 使用--nosummary减少内存占用

总结

wtrace作为一款基于ETW的命令行追踪工具，为Windows系统监控提供了强大而灵活的解决方案。无论是系统级性能分析、进程行为监控，还是特定事件追踪，wtrace都能通过简单的命令组合满足需求。通过掌握过滤规则和事件处理器配置，你可以精准定位系统问题，深入了解应用程序行为。

开始使用wtrace探索Windows系统的奥秘吧！如需获取最新版本或参与项目贡献，可通过官方仓库获取代码：

git clone https://gitcode.com/gh_mirrors/wt/wtrace

【免费下载链接】wtraceCommand line tracing tool for Windows, based on ETW.项目地址: https://gitcode.com/gh_mirrors/wt/wtrace