为什么我的Windows事件跟踪不起作用？

Question

我正在试图找出如何使用Windows事件跟踪...但我失败了。
为什么此代码会向我提供错误代码ERROR_WMI_INSTANCE_NOT_FOUND？

#include <stdio.h>
#include <tchar.h>
#include <Windows.h>
#include <Wmistr.h>
#include <Evntrace.h>
#include <evntcons.h>

ULONG NTAPI EtpEtwBufferCallback(IN PEVENT_TRACE_LOGFILE Buffer) { return TRUE; }
VOID  NTAPI  EtpEtwEventCallback(IN PEVENT_TRACE EventTrace) { }

int _tmain()
{
    LPCTSTR loggerName = KERNEL_LOGGER_NAME;
    EVENT_TRACE_LOGFILE logFile = {0};
    logFile.LoggerName = const_cast<LPTSTR>(loggerName);
    logFile.ProcessTraceMode = PROCESS_TRACE_MODE_REAL_TIME;
    logFile.BufferCallback = EtpEtwBufferCallback;
    logFile.EventCallback = EtpEtwEventCallback;
    TRACEHANDLE hTrace = OpenTrace(&logFile);
    ULONG result = ProcessTrace(&hTrace, 1, NULL, NULL);
    // result is ERROR_WMI_INSTANCE_NOT_FOUND
    _tprintf(_T("%u\n"), result);
}

Answer 1

从ProcessTrace docs，ERROR_WMI_INSTANCE_NOT_FOUND表示“您尝试实时使用事件的会话未运行或未启用实时跟踪模式”。

您可以使用Windows驱动程序工具包中的tracelog启动NT内核记录器，但我没有手持WDK，所以我没有尝试过。

This article解释了如何自己启动NT内核记录器。