如何用Windows版DTrace追踪4DD数据库客户端的Socket通信数据？

1. 前置准备 #

• 以管理员身份启动DTrace（命令行或GUI版本均可），系统调用追踪需要高权限
• 确认待追踪客户端的PID准确，可通过tasklist命令或任务管理器获取

2. 编写DTrace脚本追踪核心Socket调用 #

追踪send调用的脚本（保存为socket-send.d） #

#pragma D option quiet

pid::<目标PID>::send:entry
{
    printf("[%Y] 进程PID %d - 调用send()\n", walltimestamp, pid);
    printf("  Socket文件描述符: %d\n", arg0);
    printf("  待发送数据长度: %d\n", arg2);
    // 打印前1024字节数据（可根据需求调整长度）
    printf("  数据(十六进制): ");
    tracemem(arg1, min(arg2, 1024));
    printf("\n");
}

追踪recv调用的脚本（保存为socket-recv.d） #

#pragma D option quiet

pid::<目标PID>::recv:entry
{
    printf("[%Y] 进程PID %d - 调用recv()\n", walltimestamp, pid);
    printf("  Socket文件描述符: %d\n", arg0);
}

pid::<目标PID>::recv:return
{
    printf("  实际接收字节数: %d\n", arg0);
    if (arg0 > 0) {
        printf("  数据(十六进制): ");
        tracemem(arg1, min(arg0, 1024));
        printf("\n");
    }
}

替换脚本里的<目标PID>为实际客户端PID；如果需要查看ASCII格式数据，可在tracemem后添加printf("\n 数据(ASCII): %s\n", stringof(arg1));，但非ASCII数据会显示乱码。

3. 运行DTrace脚本 #

打开管理员命令提示符，切换到脚本所在目录，执行：

dtrace -s socket-send.d

若要同时追踪send和recv，可将两个脚本的内容合并为一个文件后运行，或打开两个终端分别执行两个脚本。

4. 可选：追踪其他Socket调用 #

如果需要监控connect、closesocket等操作，可在脚本中添加以下片段：

pid::<目标PID>::connect:entry
{
    printf("[%Y] 进程PID %d - 调用connect()，Socket FD: %d\n", walltimestamp, pid, arg0);
    // 如需解析目标地址，可解析sockaddr结构体（需额外处理）：
    // this->sa = (struct sockaddr *)arg1;
    // printf("  目标地址: %s:%d\n", inet_ntoa(((struct sockaddr_in *)this->sa)->sin_addr), ntohs(((struct sockaddr_in *)this->sa)->sin_port));
}

pid::<目标PID>::closesocket:entry
{
    printf("[%Y] 进程PID %d - 调用closesocket()，Socket FD: %d\n", walltimestamp, pid, arg0);
}

5. 注意事项 #

• 如果目标进程是32位，而你的DTrace是64位版本，需添加-32参数运行：dtrace -32 -s socket-send.d
• 若数据量过大，可调整min(arg2, 1024)中的数值来控制打印的字节长度，平衡输出完整性和可读性
• 若目标进程开启了ASLR（地址空间布局随机化）导致符号解析失败，可尝试用-c参数直接启动客户端进程：dtrace -s socket-send.d -c "客户端程序路径.exe"

内容的提问来源于stack exchange，提问作者phillip-from-oz