如何安装与配置wtrace？3种快速上手方法让你5分钟开始系统追踪

【免费下载链接】wtraceCommand line tracing tool for Windows, based on ETW.项目地址: https://gitcode.com/gh_mirrors/wt/wtrace

wtrace是一款基于ETW的Windows命令行追踪工具，能够帮助用户记录操作系统或进程组的跟踪事件，包括文件I/O、注册表操作、TCP/IP连接和RPC调用等，为系统分析提供有力支持。

一、wtrace安装前准备

wtrace适用于Windows 8.1及以上系统，并且需要.NET 4.8.x环境。在安装wtrace之前，请确保你的系统满足这些要求。

二、3种快速安装方法

1. 直接下载可执行文件（推荐新手）

这是最简单快捷的安装方式。你可以从项目的发布页面下载最新版本的wtrace，它是一个单文件应用，下载后无需复杂安装步骤，直接即可使用。

2. 使用Chocolatey包管理器安装

如果你已经安装了Chocolatey，那么安装wtrace会非常方便。只需在命令行中输入以下命令：

choco install wtrace

这种方式能够自动处理依赖关系，并且方便后续更新。

3. 从源代码构建安装

如果你想获取最新的开发版本，或者对源代码感兴趣，可以选择从源代码构建。首先需要克隆仓库：

git clone https://gitcode.com/gh_mirrors/wt/wtrace

然后进入项目目录，使用合适的构建工具进行编译。项目中包含了多个.csproj和.fsproj文件，如wtrace/wtrace.csproj、wtrace.cmd/wtrace.cmd.fsproj等，你可以根据自己的需求进行构建。

三、wtrace基本配置

1. 环境变量设置

虽然wtrace通常不需要额外的环境变量设置，但如果你需要进行RPC过程名解析，建议设置_NT_SYMBOL_PATH环境变量来配置调试符号路径。例如：

set _NT_SYMBOL_PATH=SRV*C:\symbols\*https://msdl.microsoft.com/download/symbols

2. 命令行参数配置

wtrace提供了丰富的命令行参数来满足不同的追踪需求。以下是一些常用的配置选项：

• -f, --filter=FILTER：设置事件过滤器，只显示满足特定条件的事件。例如-f 'pid = 1234'表示只显示进程ID为1234的事件。
• --handlers=HANDLERS：指定要启用的事件处理器。可用的处理器包括process、file、registry、rpc、tcp、udp、image等。例如--handlers 'tcp,file'表示只启用TCP和文件I/O事件处理器。
• -c, --children：追踪选定进程及其所有子进程。
• -s, --system：仅收集系统统计信息（进程和DPC/ISR）并在追踪会话结束时显示。

四、开始你的第一次系统追踪

1. 系统范围追踪

要追踪系统中所有进程，只需在命令行中直接运行wtrace：

wtrace

不过，这种方式会产生大量事件，建议结合过滤器或限制处理器数量使用，例如只显示文件写入事件：

wtrace --handlers file -f 'eventname=FileIO/Write'

2. 特定进程追踪

如果你想追踪一个正在运行的进程，可以使用进程ID作为参数：

wtrace 1234

其中1234是目标进程的ID。如果要同时追踪该进程的子进程，可以添加-c选项：

wtrace -c 1234

3. 启动并追踪新进程

wtrace还可以启动一个新进程并对其进行追踪。只需将进程路径和参数作为命令行参数传递给wtrace：

wtrace notepad.exe c:\temp\test.txt

这将启动记事本并打开test.txt文件，同时对记事本进程进行追踪。

五、常见问题解决

1. 防病毒软件误报

有些防病毒引擎可能会将wtrace标记为恶意软件，这通常是误报。你可以计算二进制文件的校验和，并与发布页面上的校验和进行比较，以确认文件的完整性。

2. 事件丢失警告

如果在追踪过程中收到“事件丢失”警告，这通常表示事件数量过多，wtrace无法及时处理。此时，你可以添加更多过滤器或禁用不需要的处理器来减少事件数量。

3. 会话未正常结束

如果收到“会话未在规定时间内完成”的警告，可能是ETW会话处理出现问题。你可以使用logman工具手动停止会话：

logman stop wtrace-rt -ets

通过以上3种安装方法和简单的配置，你可以在5分钟内快速上手wtrace，开始你的系统追踪之旅。无论是系统级别的监控还是特定进程的分析，wtrace都能为你提供有价值的 insights。快去尝试使用wtrace来探索Windows系统的运行机制吧！

【免费下载链接】wtraceCommand line tracing tool for Windows, based on ETW.项目地址: https://gitcode.com/gh_mirrors/wt/wtrace