【发布时间】：2010-10-26 07:00:48
【问题描述】：
阅读 Monitoring certain system calls done by a process in Windows，我想知道 Windows 是否等效于 ptrace 系统调用或编程解决方法。
【问题讨论】：
【发布时间】：2010-10-26 07:00:48
【问题描述】：
您可以使用 ETW 来跟踪系统调用。启动跟踪时，在 EVENT_TRACE_PROPERTIES 中，您可以将 EVENT_TRACE_FLAG_SYSTEMCALL 标志添加到 EnableFlags。如here 所述，这将启用 SysCallEnter 和 SysCallLeave 事件。
【讨论】：
-
不幸的是，SysCallEnter 需要 Vista 或 Windows Server 2008。
-
ETW 是否可以找出系统调用的参数？