如何利用ETW中Microsoft-Windows-TCPIP的TCB值获取TCP连接地址？

嘿，我来帮你搞定这个问题！你现在的场景是用ETW的Microsoft-Windows-TCPIP提供程序+TraceEvent Library抓实时TCP数据，发现Send事件里只有TCB的指针数值，没法直接拿到连接地址，而且Connect或Rundown事件可能抓不到——这个需求其实挺常见的，我给你梳理几个可行的方案：

一、最稳妥的方案：用ETW事件关联TCB与连接信息 #

其实TCPIP提供程序里有个容易被忽略的事件TcbCreate，它会在TCP连接的传输控制块（TCB）创建时触发，这个事件里同时包含TCB指针和完整的连接地址/端口信息。我们可以利用这个事件做映射缓存：

• 步骤1：订阅Microsoft-Windows-TCPIP提供程序的三个关键事件：TcbCreate、Send、TcbDelete
• 步骤2：维护一个内存字典（比如C#里的Dictionary<ulong, TcpConnectionDetails>），把TCB的指针数值作为Key，对应的源IP、目的IP、源端口、目的端口作为Value
• 步骤3：收到TcbCreate事件时，解析事件 payload 里的连接信息，存入字典
• 步骤4：收到Send事件时，用事件里的TCB指针查字典，直接拿到对应的连接地址
• 步骤5：收到TcbDelete事件时，从字典里移除对应条目，避免内存泄漏

这种方法完全基于ETW事件本身，不需要额外的内核权限或驱动，兼容性也强，毕竟ETW事件的结构是公开且相对稳定的。

二、关于直接读取TCB指针的注意事项 #

你提到找到了读取TCB表的API，但要明确：

• 那个API返回的是用户态拷贝的TCP连接表，里面没有内核TCB的指针字段，没法直接和ETW里的TCB指针关联
• ETW里的TCB数值是内核虚拟地址指针，用户态程序没有权限直接访问内核地址空间，强行用ReadProcessMemory之类的API去读会失败（除非你有调试权限且用特殊手段，但非常不推荐）
• 内核里的_TCB结构是未公开的，不同Windows版本（比如Win10 vs Win11）的结构会有变化，就算你拿到了地址，也没法稳定解析出连接信息，很容易因为系统更新导致程序崩溃

所以直接读取TCB指针的方案兼容性和稳定性都很差，不建议作为生产环境的解决方案。

三、TraceEvent Library的代码示例思路 #

给你个简单的C#代码逻辑参考（用TraceEvent Library）：

var tcpipProvider = new TraceEventProvider("Microsoft-Windows-TCPIP");
var tcbMap = new ConcurrentDictionary<ulong, TcpConnectionInfo>();

// 订阅TcbCreate事件
tcpipProvider.Dynamic.AddCallbackForEvent("TcbCreate", (data) =>
{
    var tcbPtr = data.GetUInt64("Tcb");
    var srcIp = data.GetIpAddress("LocalAddress");
    var srcPort = data.GetUInt16("LocalPort");
    var destIp = data.GetIpAddress("RemoteAddress");
    var destPort = data.GetUInt16("RemotePort");
    
    tcbMap.TryAdd(tcbPtr, new TcpConnectionInfo(srcIp, srcPort, destIp, destPort));
});

// 订阅Send事件
tcpipProvider.Dynamic.AddCallbackForEvent("Send", (data) =>
{
    var tcbPtr = data.GetUInt64("Tcb");
    if (tcbMap.TryGetValue(tcbPtr, out var connInfo))
    {
        // 这里就拿到了Send事件对应的连接信息
        Console.WriteLine($"Send to {connInfo.DestIp}:{connInfo.DestPort}, TCB: 0x{tcbPtr:X}");
    }
});

// 订阅TcbDelete事件清理缓存
tcpipProvider.Dynamic.AddCallbackForEvent("TcbDelete", (data) =>
{
    var tcbPtr = data.GetUInt64("Tcb");
    tcbMap.TryRemove(tcbPtr, out _);
});

// 启动监听
tcpipProvider.Enable();

这个思路完全规避了直接操作内核TCB的风险，用ETW本身的事件关联就能解决你的问题。

内容的提问来源于stack exchange，提问作者Mant101