c - 使用 Sysinternals.ProcMon 捕获 C 运行时函数调用

Question

有没有办法让_stat()ProcMon 中捕获的 C 运行时函数

Answer 1

不是直接的，因为（正如@Preet Sangha 解释的那样）它在 CRT 级别以下工作。但是，它确实向您显示了一个调用堆栈，并且_stat确实访问了一个文件。因此，如果 ProcMon 可以访问您的可执行符号并且您知道要监视哪个文件，您可能会_stat在该文件访问的调用堆栈中看到。

如果这还不够，请进一步描述您的方案。

请注意，有一些用于在代码级别挂钩的工具 - 请参阅如何在 C/C++ 中挂钩 Windows 函数？

Answer 2

ProcMon 在窗口级别拦截调用（我认为特别是 NTxxxx 和 ZWxxxx 调用）。这些远低于 C 运行时库 - 所以我怀疑不是。