能否通过ETW监测特定DLL及函数加载？求PowerShell实现方案

核心问题说明 #

可以通过ETW监测特定DLL函数调用，但你当前查询的Microsoft-Windows-Kernel-Process提供者并不直接支持这个需求——该提供者仅负责进程生命周期、线程管理、镜像加载等内核级进程相关事件，和DLL函数调用追踪无直接关联。

要实现特定DLL函数调用的监测，通常有两种可行方向：

• 利用支持函数追踪的ETW提供者：比如针对.NET DLL的Microsoft-Windows-DotNETRuntime，或内核级的Microsoft-Windows-Kernel-Proxy；
• 结合自定义ETW提供者：若原生DLL无现成提供者支持，需通过代码注入或修改DLL的方式添加ETW事件埋点。

用logman实现函数追踪的步骤（以.NET DLL为例） #

1. 确认目标提供者的关键字：先查询对应提供者的可用关键字，比如针对.NET运行时：

   logman query providers Microsoft-Windows-DotNETRuntime
   

   找到对应函数调用的关键字（如WINEVENT_KEYWORD_FUNCTION_CALL，对应十六进制值需以查询结果为准）。
2. 创建ETW追踪会话：

   logman create trace DLLFuncTrace -p Microsoft-Windows-DotNETRuntime 0x8000000000000008 -o C:\traces\DLLFunc.etl
   

   其中0x8000000000000008为函数调用关键字的十六进制值，需根据实际查询结果替换。
3. 启动追踪会话：

   logman start DLLFuncTrace
   

4. 触发目标函数调用：运行调用目标DLL函数的程序。
5. 停止追踪会话：

   logman stop DLLFuncTrace
   

6. 解析日志文件：用tracerpt将ETL格式日志转为可读的CSV或XML：

   tracerpt C:\traces\DLLFunc.etl -o C:\traces\DLLFunc.csv -of CSV
   

你当前查询的提供者信息（翻译后） #

你查询的Microsoft-Windows-Kernel-Process提供者详情如下：

> logman query providers "{22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}"

提供者                                GUID
-------------------------------------------------------------------------------
Microsoft-Windows-Kernel-Process         {22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}

值                   关键字                说明
-------------------------------------------------------------------------------
0x0000000000000010  WINEVENT_KEYWORD_PROCESS          进程相关事件
0x0000000000000020  WINEVENT_KEYWORD_THREAD           线程相关事件
0x0000000000000040  WINEVENT_KEYWORD_IMAGE            镜像（DLL/EXE）加载/卸载事件
0x0000000000000080  WINEVENT_KEYWORD_CPU_PRIORITY     CPU优先级相关事件
0x0000000000000100  WINEVENT_KEYWORD_OTHER_PRIORITY   其他优先级相关事件
0x0000000000000200  WINEVENT_KEYWORD_PROCESS_FREEZE   进程冻结相关事件
0x0000000000000400  WINEVENT_KEYWORD_JOB              作业对象相关事件
0x0000000000000800  WINEVENT_KEYWORD_ENABLE_PROCESS_TRACING_CALLBACKS  启用进程追踪回调
0x0000000000001000  WINEVENT_KEYWORD_JOB_IO           作业对象IO相关事件
0x0000000000002000  WINEVENT_KEYWORD_WORK_ON_BEHALF   代表其他实体工作的事件
0x0000000000004000  WINEVENT_KEYWORD_JOB_SILO         作业对象隔离相关事件
0x8000000000000000  Microsoft-Windows-Kernel-Process/Analytic  分析级事件

学习参考 #

• Windows性能工具集官方文档：重点学习logman、tracerpt命令用法，以及ETW提供者的关键字规则；
• Microsoft Docs ETW核心概念：理解ETW会话、提供者、事件关键字的基础逻辑；
• Windows内核性能分析相关资料：深入掌握ETW内核级追踪的实现机制。

内容的提问来源于stack exchange，提问作者tea