registry - 我可以像 Process Monitor 那样在 WinDbg 中跟踪注册表访问吗？

Question

我收到了 WinDbg 日志和进程监视器日志。一些项目显示在 WinDbg 和进程监视器中，即模块加载事件。

如果我使用 sxe -c ".echo Thread Exit;g" et，我想我也可以跟踪线程退出事件。或类似的东西。但是，我想不出一个简单的解决方案来跟踪注册表访问和文件加载事件。

有没有办法像 Process Monitor 一样在 WinDbg 中跟踪注册表调用？

最好它会跟踪所有 ETW 调用，因此我的 WinDbg 日志中也有文件访问。

Answer 1

我只能想到在Registry Functions上设置断点作为:

bu ADVAPI32!RegQueryValueExW ".echo RegQueryValueExW; g;"
bu ADVAPI32!RegQueryValueExA ".echo RegQueryValueExA; g;"

断点命令字符串回显断点名称，然后继续程序。