Windows ETW：内核使用者未收到 EventCallback 或 BufferCallback 事件

Question

我正在尝试监听 ETW 内核事件。

• 第 1 步：调用 OpenTrace，指定EventCallback< /a> 和可选的 BufferCallback< /a> 在我调用 ProcessTrace< /a>：

  <前><代码>变量 日志文件：EVENT_TRACE_LOGFILE； 当前跟踪：TRACEHANDLE； 开始 ZeroMemory(@logFile, sizeof(logFile)); logFile.LoggerName := KERNEL_LOGGER_NAME; logFile.LogFileName := 'C:\Users\Ian\foo.etl'; logFile.ProcessTraceMode := 0; logFile.EventCallback := RealtimeEventCallback; logFile.BufferCallback := BufferCallback; //选修的 当前Trace := OpenTrace(@logFile); 如果 (currentTrace = INVALID_PROCESSTRACE_HANDLE) 或 (currentTrace = -1) 那么 引发LastWin32Error();

• 第 2 步：启用内核事件。这是通过调用 开始跟踪。就我而言，我想跟踪内核 中断 (EVENT_TRACE_FLAG_INTERRUPT< /a>) 和 延迟过程调用 (<一个href="http://msdn.microsoft.com/en-us/library/windows/desktop/aa363784%28v=vs.85%29.aspx" rel="nofollow">EVENT_TRACE_FLAG_DPC< /a>):

  <前><代码>变量 会话属性：PEVENT_TRACE_PROPERTIES； 缓冲区大小：Int64； th：跟踪句柄； 记录器名称：字符串； 日志文件路径：字符串； 开始 loggerName := KERNEL_LOGGER_NAME; logFilePath := 'C:\Users\Ian\foo.etl'; bufferSize := sizeof(EVENT_TRACE_PROPERTIES) + 1024 //会话名称最大长度为1024个字符 + 1024； //日志文件名最大长度为1024个字符 sessionProperties := AllocMem(bufferSize); ZeroMemory(sessionProperties, bufferSize); sessionProperties.Wnode.BufferSize := bufferSize; sessionProperties.Wnode.ClientContext := 1; //QPC时钟分辨率 sessionProperties.Wnode.Flags := WNODE_FLAG_TRACED_GUID; sessionProperties.Wnode.Guid := SystemTraceControlGuid; sessionProperties.EnableFlags := EVENT_TRACE_FLAG_INTERRUPT 或 EVENT_TRACE_FLAG_DPC； sessionProperties.LogFileMode := EVENT_TRACE_FILE_MODE_CIRCULAR; sessionProperties.MaximumFileSize := 5; // 5MB sessionProperties.LoggerNameOffset := sizeof(EVENT_TRACE_PROPERTIES); sessionProperties.LogFileNameOffset := sizeof(EVENT_TRACE_PROPERTIES)+1024; //复制LoggerName到偏移地址 MoveMemory(指针(Cardinal(sessionProperties)+sessionProperties.LoggerNameOffset), PChar(loggerName), Length(loggerName)+1); //复制LogFilePath到偏移地址 MoveMemory(指针(Cardinal(sessionProperties)+sessionProperties.LogFileNameOffset), PChar(logFilePath), Length(logFilePath)+1); hr := StartTrace({var}th, PChar(loggerName), sessionProperties); if (hr <> ERROR_SUCCESS) then 引发 EWin32Error.Create(SysErrorMessage(hr));

  日志已成功启动（我可以看到 foo.etl 开始增长到其 5 MB 循环限制）。

• 第 3 步：调用 ProcessTrace，它会阻塞，直到将所有待处理事件传递到 EventCallback< /a> 步骤 1 中指定的处理程序：

  <前><代码>变量 res：长字； 开始 res := EventTrace.ProcessTrace(@currentTrace, 1, nil, nil); if (res <> ERROR_SUCCESS) then 引发 EWin32Error.Create(SysErrorMessage(res));

除了 ProcessTrace 立即重复返回，并且不调用回调 - 即使 etl 文件存在且不断增长。

---

如果我将日志记录从基于文件更改为实时日志记录：

• 第 1 步 - OpenTrace 更改为支持实时：

  logFile.ProcessTraceMode := PROCESS_TRACE_MODE_REAL_TIME;
  

• 第 2 步 - StartTrace 进行更改以支持 >实时：

  sessionProperties.LogFileMode := EVENT_TRACE_REAL_TIME_MODE;
  

在本例中 ProcessTrace 从不< /em> 返回，但 EventCallback 或 BufferCallback 都没有被调用。

我做错了什么？

---

更新：我的回调函数：

function BufferCallback(Logfile: PEVENT_TRACE_LOGFILE): LongWord; stdcall;
begin
   ShowMessage('BufferCallback');
   Result := 1; //return true to keep processing rows
end;

procedure RealtimeEventCallback(pEvent: PEVENT_TRACE); stdcall;
begin
   ShowMessage('EventCallback');
   nEvents := nEvents+1;
end;

Answer 1

我发现了问题。

我使用的标题不是四字对齐的。

在 Delphi 的说法中，使用了关键字 packed。

Answer 2

您不能同时提供 LoggerName 和 LogFileName。如果您提供 LoggerName，则 LogFileName 必须为 null。请参阅此链接。