【Etw系列】你想知道的关于ETW的信息，都在这里……

15158930038

我就看看，打字不说话

zzzyf

#在这里快速回复#        老铁，双击666~

xiaoheinez

        支持开源~！感谢分享

xiaoheinez

支持大佬

wqw666

11111111111111111111111111111111

茫然若失

新手求问, 这个Etw实际使用中是做哪一类的功能使用的?

opq123

感谢分享，很给力！~

yujiekuxiao

ANormalUser 发表于 2022-12-28 11:17
要GUID有什么用？
ETW从来就不是找不到GUID，而是找不到GUID对应的反馈声明

我发的内容 补充一下 关于:

[JavaScript] 纯文本查看 复制代码

这个GUID是怎么从“{22fb2cd6-0e7b-422b-a0c7-2fad1fd0e716}”转换到图中的样子的？图中表示的其实是这个GUID的内存表示，具体可以在C++中使用DEFINE_GUID将GUID定义，在使用CE等程序查看其内存表示。（其实也不需要，GUID组成是1个4字节int，2个双字节word和8个byte组成，根据GUID可直接推算其内存形式，不过要注意内存大小端的问题）

你这个说明

ANormalUser

yujiekuxiao 发表于 2022-12-28 10:17
[e=0].版本 2

.子程序 GUID文本_反转到字节集, 字节集, , { 214, 44, 251, 34, 123, 14, 43, 66, 160, 19 ...

要GUID有什么用？
ETW从来就不是找不到GUID，而是找不到GUID对应的反馈声明

yujiekuxiao

  

子程序名	返回值类型	公开	备 注
GUID文本_反转到字节集	字节集		{ 214, 44, 251, 34, 123, 14, 43, 66, 160, 199, 47, 173, 31, 208, 231, 22 }
参数名	类 型	参考	可空	数组	备 注
GUID文本	文本型				{22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}

变量名	类 型	静态	数组	备 注
TempText	文本型

TempText ＝ 取文本中间 (GUID文本, 8, 2) ＋ 取文本中间 (GUID文本, 6, 2) ＋ 取文本中间 (GUID文本, 4, 2) ＋ 取文本中间 (GUID文本, 2, 2) ＋ 取文本中间 (GUID文本, 13, 2) ＋ 取文本中间 (GUID文本, 11, 2) ＋ 取文本中间 (GUID文本, 18, 2) ＋ 取文本中间 (GUID文本, 16, 2) ＋ 取文本中间 (GUID文本, 21, 4) ＋ 取文本中间 (GUID文本, 26, 12)
返回 (十六进制到字节集 (TempText))

子程序名	返回值类型	公开	备 注
十六进制到字节集	字节集
参数名	类 型	参考	可空	数组	备 注
原始16进制文本	文本型

变量名	类 型	静态	数组	备 注
bytes	字节集
bytes_ret	字节集
len	整数型
p1	整数型
i	整数型
byte1	整数型
byte2	整数型

bytes ＝ 到字节集 (原始16进制文本)
len ＝ 取字节集长度 (bytes)
如果真 (位与 (len, 1) ＝ 1)
bytes ＝ bytes ＋ 取空白字节集 (1)
len ＝ len ＋ 1
bytes [len] ＝ bytes [len － 1]
bytes [len － 1] ＝ 48
bytes_ret ＝ 取空白字节集 (右移 (len, 1))
变量循环首 (1, len, 2, p1)
i ＝ i ＋ 1
byte1 ＝ bytes [p1]
byte2 ＝ bytes [p1 ＋ 1]
判断 (byte1 ＞ 96)
byte1 ＝ byte1 － 87
判断 (byte1 ＞ 64)
byte1 ＝ byte1 － 55
byte1 ＝ byte1 － 48
判断 (byte2 ＞ 96)
byte2 ＝ byte2 － 87
判断 (byte2 ＞ 64)
byte2 ＝ byte2 － 55
byte2 ＝ byte2 － 48
bytes_ret [i] ＝ 左移 (byte1, 4) ＋ byte2
变量循环尾 ()
返回 (bytes_ret)

.版本 2<br /> <br /> .子程序 GUID文本_反转到字节集, 字节集, , { 214, 44, 251, 34, 123, 14, 43, 66, 160, 199, 47, 173, 31, 208, 231, 22 }<br /> .参数 GUID文本, 文本型, , {22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}<br /> .局部变量 TempText, 文本型<br /> <br /> TempText ＝ 取文本中间 (GUID文本, 8, 2) ＋ 取文本中间 (GUID文本, 6, 2) ＋ 取文本中间 (GUID文本, 4, 2) ＋ 取文本中间 (GUID文本, 2, 2) ＋ 取文本中间 (GUID文本, 13, 2) ＋ 取文本中间 (GUID文本, 11, 2) ＋ 取文本中间 (GUID文本, 18, 2) ＋ 取文本中间 (GUID文本, 16, 2) ＋ 取文本中间 (GUID文本, 21, 4) ＋ 取文本中间 (GUID文本, 26, 12)<br /> 返回 (十六进制到字节集 (TempText))<br /> <br /> <br /> .子程序 十六进制到字节集, 字节集<br /> .参数 原始16进制文本, 文本型<br /> .局部变量 bytes, 字节集<br /> .局部变量 bytes_ret, 字节集<br /> .局部变量 len, 整数型<br /> .局部变量 p1, 整数型<br /> .局部变量 i, 整数型<br /> .局部变量 byte1, 整数型<br /> .局部变量 byte2, 整数型<br /> <br /> bytes ＝ 到字节集 (原始16进制文本)<br /> len ＝ 取字节集长度 (bytes)<br /> .如果真 (位与 (len, 1) ＝ 1)<br />     bytes ＝ bytes ＋ 取空白字节集 (1)<br />     len ＝ len ＋ 1<br />     bytes [len] ＝ bytes [len － 1]<br />     bytes [len － 1] ＝ 48<br /> .如果真结束<br /> bytes_ret ＝ 取空白字节集 (右移 (len, 1))<br /> .变量循环首 (1, len, 2, p1)<br />     i ＝ i ＋ 1<br />     byte1 ＝ bytes [p1]<br />     byte2 ＝ bytes [p1 ＋ 1]<br />     .判断开始 (byte1 ＞ 96)<br />         byte1 ＝ byte1 － 87<br />     .判断 (byte1 ＞ 64)<br />         byte1 ＝ byte1 － 55<br />     .默认<br />         byte1 ＝ byte1 － 48<br />     .判断结束<br />     .判断开始 (byte2 ＞ 96)<br />         byte2 ＝ byte2 － 87<br />     .判断 (byte2 ＞ 64)<br />         byte2 ＝ byte2 － 55<br />     .默认<br />         byte2 ＝ byte2 － 48<br />     .判断结束<br />     bytes_ret <i> ＝ 左移 (byte1, 4) ＋ byte2<br /> .变量循环尾 ()<br /> 返回 (bytes_ret)

@ANormalUser


以上代码可直接把
GUID文本转成EnableTraceEx函数使用的ProviderId格式