跟踪Windows API调用
|
我目前正在使用.NET / Python中的工具来监视系统上的某些事件,例如编写特定的注册表项或使用特殊名称创建文件。
我评估了许多可能性,而且由于我不必关心WinXP的支持,因此我使用Windows的事件跟踪来获取所有文件和注册表活动的实时流,并且此方法工作正常(通过消耗来自NT内核记录器)。
现在,我必须扩展我的工具,以监视对某些Windows API函数(例如
WriteProcessMemory
,NtUnmapViewOfSection
或VirtualAllocEx
)的所有调用。我找到了很多工具,可以跟踪单个进程中的所有API调用,但是挂接所有进程不是一个好主意,不是吗?
现在,我想知道是否有可能使用ETW。内核是否提供任何提供程序来通知我API调用?如果没有,我还能做什么?
简介:如果要捕获API调用,是否必须挂接每个进程?
没有找到相关结果
已邀请:
1 个回复
帆攀缺锯欧