内核调试中无法使用wt命令，如何追踪wmic.exe的调用函数？

针对COM口内核调试无法使用wt命令的情况，可通过以下几种方法追踪wmic.exe执行diskdrive命令时的用户态与内核态函数调用：

1. 批量断点+自动调用栈记录 #

利用Windbg的断点命令结合日志功能，自动捕获关键函数的调用栈，无需手动单步：

• 先定位wmic.exe的进程ID：

  !process 0 0 wmic.exe
  

• 针对用户态关键模块（如kernel32.dll、advapi32.dll、wbemcomn.dll）和内核态磁盘相关函数（如nt!NtQueryInformationDisk、nt!NtEnumerateDeviceObjects、disk!DiskDispatchRead）设置断点，每次中断时自动记录调用栈并继续执行：

  logopen wmic_trace.log
  bp WMIC!CExecEngine::ExecuteCommand "g"  // 触发追踪起点
  bp nt!NtQueryInformationDisk "kP; g"     // 记录内核态磁盘信息查询调用栈
  bp kernel32!GetLogicalDriveStringsW "kP; g"  // 记录用户态磁盘枚举调用栈
  bp wbemcomn!CWin32DiskDrive::GetInstances "kP; g"  // 记录WMIC磁盘类实例获取调用栈
  g
  logclose
  

• 执行完成后，打开wmic_trace.log即可查看所有捕获的调用栈信息。

2. 切换至用户态调试结合内核断点 #

由于主系统用户态可正常使用wt命令，可通过远程用户态调试追踪wmic.exe的用户态调用链，同时配合内核调试器捕获内核态调用：

• 在虚拟机中启动wmic.exe但不执行命令，通过VMware的共享文件夹或网络，在主机上用Windbg附加到虚拟机中的wmic.exe进程（远程用户态调试可使用windbg -remote tcp:server=虚拟机IP,port=端口）；
• 在用户态调试会话中设置断点到WMIC!CExecEngine::ExecuteCommand，触发后执行wt命令追踪用户态函数调用；
• 若需捕获内核态调用，同时在内核调试器中设置磁盘相关内核函数断点，两边配合完成全链路追踪。

3. 内核态设备栈与驱动调用追踪 #

针对磁盘操作的内核态路径，可通过设备对象和驱动分发函数断点捕获调用：

• 找到磁盘设备对象：

  !drvobj disk 2
  

• 对磁盘驱动的分发函数设置断点，比如：

  bp disk!DiskDispatchQueryInformation "k; g"
  

• 同时对nt!IofCallDriver设置断点，捕获所有内核态I/O请求的调用栈：

  bp nt!IofCallDriver "r rcx; k; g"  // rcx为设备对象指针，可过滤磁盘设备
  

4. Windows事件追踪（ETW）捕获全链路调用 #

通过ETW无需调试器即可捕获进程的用户态与内核态函数调用：

• 在虚拟机中打开管理员权限的命令提示符，创建ETW追踪会话：

  logman create trace WMICDiskTrace -ow -o C:\wmic_trace.etl -p Microsoft-Windows-Kernel-Process 0x10 -p Microsoft-Windows-Kernel-File 0x10 -p Microsoft-Windows-WMI-Activity 0xFFFF
  logman start WMICDiskTrace
  

• 执行wmic diskdrive命令，完成后停止追踪：

  logman stop WMICDiskTrace
  

• 导出并分析日志：

  tracerpt C:\wmic_trace.etl -o C:\wmic_trace.csv -of CSV
  

  可在CSV文件中筛选wmic.exe相关的事件，查看调用的函数与流程。

内容的提问来源于stack exchange，提问作者user19819208