捕获Windows可执行文件系统调用：WPR与Windbg时间旅行是否可行？

Windows Performance Recorder (WPR) #

• 适合从系统和网络栈层面排查问题，能捕获Procmon可能遗漏的底层网络活动。
• 录制时需勾选Microsoft-Windows-WinINet、Microsoft-Windows-TCPIP等网络相关提供者，复现问题后用Windows Performance Analyzer (WPA)分析：
  • 重点查看WinINet事件（若应用基于WinINet开发），追踪HTTP请求的发起、内部处理流程，判断请求是否在本地就被终止（比如参数错误、缓存命中、协议拦截）。
  • 对比Procmon，WPR能覆盖更底层的网络栈交互，不会漏掉未到达网卡的请求。

带时间旅行调试(TTD)的WinDbg #

• 是定位代码级问题的精准工具，能完整记录进程执行轨迹，事后回溯每一步操作。
• 操作流程：
  1. 用WinDbg附加目标进程，启动TTD录制。
  2. 复现问题后停止录制，回溯到应用日志中记录“发起HTTP调用”的代码位置。
  3. 检查HTTP客户端API（如WinHttpSendRequest、curl_easy_perform）是否真的被执行，以及执行时的参数、返回值——很多时候应用日志记录了“发起调用”，但实际代码因逻辑判断错误跳过了发送，或API调用失败未被捕获记录。
• 优势是能直接定位到代码层面的根因，适合WPR无法找到线索时深入排查。

排查建议 #

• 优先使用WPR：无需修改进程状态，录制分析轻量化，可快速区分是系统网络栈问题还是应用自身问题。
• 若WPR无收获，再用TTD：虽然录制文件较大、分析耗时，但能精准定位代码执行中的异常逻辑。

内容的提问来源于stack exchange，提问作者shocko