etw - Windows - 查看事件的 ETW session ，以便我可以关闭其中一个

Question

我正在使用 Windows API 的事件跟踪，并且不时运行我的应用程序，但它在打开 ETW 跟踪 Controller session 后无法关闭它。

基本上我做::StartTrace([out] handle...)完成后不要关闭该句柄(使用 ::StopTrace() 函数完成关闭)

我正在寻找一种工具来显示事件 session ，以便我可以手动关闭它。没有它，我必须重新启动我的电脑才能在关机时关闭 Controller session 。

另外，在同一个 ETW 区域(在 Win 7 上)，我知道我应该能够使用 wbemtest.exe 查看公共(public) MOF 描述的数据布局。那里我应该进入

- Connect -> Namespace = \\root\wmi\EventTrace

查看 MOF 数据。但我得到 “RPC 服务器不可用” .在该屏幕中使用默认值:IWBemLocator(Namespaces)、如何解释密码 = null、身份验证级别 = 数据包。

在凭据区域中，我有用户和密码(我尝试过)，但还有另一个空字段 - 权限。有没有办法查看 MOF 数据？我在 Win 7 下运行了这个提升。

Answer 1

您可以使用命令logman query -ets查看当前正在运行的跟踪事件 session 的列表。
例如，在 Windows 10 上，您将看到如下内容:

C:\>logman query -ets

Data Collector Set                      Type                          Status
-------------------------------------------------------------------------------
AppModel                                Trace                         Running
FaceRecoTel                             Trace                         Running
FaceUnlock                              Trace                         Running
LwtNetLog                               Trace                         Running
Microsoft Security Client WMI Providers Trace                         Running
NtfsLog                                 Trace                         Running
TileStore                               Trace                         Running
WiFiSession                             Trace                         Running
SCM                                     Trace                         Running
UserNotPresentTraceSession              Trace                         Running
CldFltLog                               Trace                         Running
SHS-05042018-095434-7-5f                Trace                         Running
WDSC-05042018-095434-7-20               Trace                         Running
Diagtrack-Listener                      Trace                         Running
8696EAC4-1288-4288-A4EE-49EE431B0AD9    Trace                         Running
Cloud Files Diagnostic Event Listener   Trace                         Running

The command completed successfully.

如果您已创建自己的 session ，例如使用 Microsoft.Diagnostics.Tracing.Session.TraceEventSession，
您将给 session 一个唯一的名称，如果它正在运行，您应该在列表中看到它。

要终止现有 session ，请以管理员身份执行以下操作:

logman stop <SessionName> -ets

还有一些 PowerShell Cmdlets ，可以做类似的事情。