Windows与Linux下PCI I/O监控方案咨询（含设备兼容问题排查）

Windows平台方案 #

• 内核级调试拦截：用WinDbg配合内核调试，直接对IoReadPortXxx/IoWritePortXxx系列内核函数（比如IoReadPortUshort、IoWritePortUlong）设断点，能捕获所有内核态驱动对I/O端口的读写操作。操作步骤：
  1. 执行bcdedit /set testsigning on开启测试签名模式，重启系统。
  2. 用WinDbg连接目标系统（本地或远程），输入断点命令比如bp nt!IoReadPortUshort，触发断点时就能查看调用栈和访问的端口参数。
• 用户态函数挂钩：借助Detours库挂钩用户态的inp、outp等I/O访问函数，但只能监控用户态程序的操作，抓不到内核态的I/O访问。
• Process Monitor辅助：ProcMon可以过滤I/O相关操作，但只支持文件、注册表等高层I/O监控，对PCI端口的直接读写支持有限，得配合内核调试工具一起用。

Linux平台方案 #

• 内核模块动态追踪：写一个轻量内核模块，用kprobe动态挂钩ioport_read/ioport_write函数，捕获内核态的I/O端口访问。示例代码片段：

  #include <linux/kprobes.h>
  #include <linux/printk.h>
  
  static struct kprobe kp_read = {
      .symbol_name = "ioport_read",
  };
  
  static int pre_read_handler(struct kprobe *p, struct pt_regs *regs) {
      printk(KERN_INFO "I/O read: port=0x%lx, size=%d\n", regs->di, regs->cx);
      return 0;
  }
  
  static int __init io_monitor_init(void) {
      kp_read.pre_handler = pre_read_handler;
      return register_kprobe(&kp_read);
  }
  
  static void __exit io_monitor_exit(void) {
      unregister_kprobe(&kp_read);
  }
  
  module_init(io_monitor_init);
  module_exit(io_monitor_exit);
  MODULE_LICENSE("GPL");
  

  编译加载模块后，通过dmesg就能查看捕获到的I/O操作日志。
• strace用户态追踪：用strace工具追踪用户态程序的inb/outb/ioctl等系统调用，命令示例：strace -e trace=inb,outb,ioctl ./your_target_program，但只能监控用户态的I/O访问。
• perf动态探针：用perf probe给内核I/O函数设置探针，命令示例：perf probe -a ioport_read port=$rdi size=$rcx，然后执行perf record -e probe:ioport_read -g捕获数据，最后用perf report查看详细调用栈和访问信息。

内容的提问来源于stack exchange，提问作者Jack White