Call Tracing Windows Driver

Question

Я хочу иметь возможность записывать в режиме реального времени активность драйвера режима ядра (у меня есть полные символы для него). Это скрытый драйвер мини-класса. Я хочу записать выполнение вызовов в этом драйвере (отслеживание стека каждый раз, когда IRP входит и выходит из драйвера).

Возможно ли это (возможно, с EWT и / или WPT)?

Answer 1

Как насчет трассировки ETW? MS использует все это внутри окон. Это также даст вам стеки вызовов.

Вот ссылка

Answer 2

Если вам нужно отслеживать только IRP, вы можете использовать Irp Tracker .