如何在Windows上记录程序的DeviceIoControl调用

Question

我需要捕获应用程序的DeviceIoControl（）系统调用。在linux上，strace可以用来分析所有的ioctl调用。 Windows上是否有类似的功能？

MSDN网站推荐一个名为“Process Monitor”的程序来分析可执行文件的实时活动。但是，“进程监视器”不显示有关DeviceIoControl调用的任何内容。

Answer 1

你试过OSR的IRPTracker吗？

IrpTracker允许您监视系统上的所有I/O请求数据包（IRP），而无需使用任何筛选器驱动程序，并与任何设备对象的引用，使即插即用系统完全不受干扰。除了能够看到IRP取下驱动程序堆栈及其最终完成状态的路径之外，还提供了一个详细视图，可让您查看IRP静态部分的全部内容以及当前和之前的解释视图堆栈位置。

Answer 2

要捕获DeviceIoControl（）函数，您可以使用API​​挂钩。我公司提供Deviare，一个高级接口的钩子引擎。你不需要知道很多关于钩子的东西可以自由使用（只是显示一个对话说未注册的版本）。它包括一个带有源代码的钩子控制台。

Answer 3

记忆博士（http://drmemory.org）工具自带的系统调用跟踪工具，称为drstrace列出了由目标应用程序的所有的系统调用，包括NtDeviceIoControlFile，与他们的论据一起：http://drmemory.org/strace_for_windows.html

Answer 4

最近发现Rohitab的API Monitor 它没有更新2年，但它在我的Win7 x64上工作。它具有非常好的API过滤功能。