使用krabsetw库的PowerShell脚本无法消费ETW事件求助

我之前也碰到过类似的坑——PowerShell和.NET强类型事件委托的交互经常有适配问题，尤其是Register-ObjectEvent这个cmdlet并不太适合处理krabsetw这类库的事件逻辑。咱们一步步来搞定这个问题：

问题根源 #

你的C#代码能正常工作，是因为它直接绑定了强类型的IEventRecordDelegate委托，事件上下文和追踪线程完全匹配。但PowerShell这边的问题出在这几点：

1. Register-ObjectEvent会把事件处理逻辑放到后台作业中运行，和UserTrace的事件分发线程上下文隔离，导致事件根本传不到你的处理函数里。
2. 它对强类型委托的参数映射有问题，$EventArgs并不是你期望的IEventRecord实例。
3. 另外，$Trace.Start()是非阻塞调用，如果脚本执行完毕直接退出，UserTrace对象会被垃圾回收，ETW会话直接终止，自然收不到任何事件。

修复后的脚本 #

直接改用PowerShell的.NET事件绑定语法，同时保持脚本活跃以维持ETW会话：

# 先确保krabsetw程序集已加载（替换为你的dll实际路径）
Add-Type -Path "C:\path\to\krabsetw.dll"

# 定义事件处理函数
Function Parse-ETW {
    Param([O365.Security.ETW.IEventRecord] $record)
    Write-Host "Received event - ID: $($record.Id), Name: $($record.Name)"
}

# 创建带唯一名称的UserTrace会话
$Trace = New-Object -TypeName O365.Security.ETW.UserTrace -ArgumentList "Session-$([System.Guid]::NewGuid())"

# 初始化目标ETW提供器（对应你指定的GUID）
$Provider = New-Object -TypeName O365.Security.ETW.Provider -ArgumentList ([System.Guid]::Parse("{1C95126E-7EEA-49A9-A3FE-A378B03DDB4D}"))
$Provider.Any = [O365.Security.ETW.Provider]::AllBitsSet

# 直接绑定OnEvent委托（替代Register-ObjectEvent）
# $args[0]就是委托传递过来的IEventRecord实例
$eventHandler = { Parse-ETW -record $args[0] }
$Provider.add_OnEvent($eventHandler)

# 启用提供器并启动追踪
$Trace.Enable($Provider)
$Trace.Start()

# 保持脚本运行，等待事件触发（按Ctrl+C终止）
try {
    Write-Host "ETW trace running... Press Ctrl+C to stop."
    while ($true) {
        Start-Sleep -Seconds 1
    }
}
finally {
    # 清理资源，避免残留ETW会话占用系统资源
    $Trace.Stop()
    $Provider.remove_OnEvent($eventHandler)
    Write-Host "Trace stopped successfully."
}

关键改动说明 #

1. 直接绑定.NET事件：用.add_OnEvent()方法绑定脚本块，完全匹配IEventRecordDelegate的签名，$args[0]直接对应事件的IEventRecord参数，彻底避免了Register-ObjectEvent的上下文隔离问题。
2. 维持脚本活跃：通过while循环加Start-Sleep让脚本一直运行，保证UserTrace对象不会被垃圾回收，ETW会话持续生效。
3. 资源清理：在finally块中停止追踪并移除事件处理程序，避免残留的ETW会话占用系统资源。

测试方法 #

运行脚本后，触发一些DNS操作（比如执行nslookup microsoft.com或者打开浏览器访问网站），你应该能在控制台看到事件ID和名称的输出了。

内容的提问来源于stack exchange，提问作者MotiB