Чтение поставщиков ETW с помощью go

Хорошо, у меня было немного свободного времени и доступ к Windows XP, поэтому я решил стряхнуть пыль со своих навыков программирования для Windows и написал работающее решение:

package main

import (
    "golang.org/x/sys/windows"

    "log"
    "syscall"
    "unsafe"
)

var (
    modAdvapi32             = windows.NewLazySystemDLL("advapi32")
    procEnumerateTraceGuids = modAdvapi32.NewProc("EnumerateTraceGuids")
)

type traceGuidProperties struct {
    guid        syscall.GUID
    guidType    uint32
    loggerId    uint32
    enableLevel uint32
    enableFlags uint32
    isEnable    uint32
}

func enumerateTraceGuids(ptr **traceGuidProperties, count uint32, out *uint32) error {
    rc, _, _ := procEnumerateTraceGuids.Call(uintptr(unsafe.Pointer(ptr)),
        uintptr(count), uintptr(unsafe.Pointer(out)))
    if rc != 0 {
        return syscall.Errno(rc)
    }
    return nil
}

func enumTraceGuids() ([]*traceGuidProperties, error) {
    var errMoreData = syscall.Errno(234)

    var (
        dummyProps traceGuidProperties
        dummyPtr   = &dummyProps

        count uint32
    )

    err := enumerateTraceGuids(&dummyPtr, 0, &count)
    if err != errMoreData {
        return nil, err
    }

    items := make([]*traceGuidProperties, count)
    for i := range items {
        items[i] = new(traceGuidProperties)
    }

    for {
        err = enumerateTraceGuids(&items[0], count, &count)
        if err == nil {
            break
        }
        if err != errMoreData {
            return nil, err
        }
        for i := 0; i < int(count)-len(items); i++ {
            items = append(items, new(traceGuidProperties))
        }
    }

    return items[:count], nil
}

func main() {
    log.SetFlags(0)

    data, err := enumTraceGuids()
    if err != nil {
        log.Fatal(err)
    }
    log.Printf("len(data)=%d\n", len(data))
    for i := range data {
        log.Println(*(data[i]))
    }
}

Ключевые моменты:

• Я был неправ, когда сказал вам, что «вы… должны выделить массив структур (не указателей)» — на самом деле EnumerateTraceGuids действительно ожидает массив указателей.

• Как указано здесь, в работе EnumerateTraceGuids есть две тонкости:

  • Contrary to what its documentation states, it actually supports being called with its PropertyArrayCount parameter set to 0, in which case it's expected to return ERROR_MORE_DATA while having set GuidCount to the number of elements of the input array required for the (next) call to complete successfully. IOW, that way we know how many trace GUIDs the system currently "knows about".
  • Тем не менее, даже в этом случае функция выполняет проверку правильности входного массива (см. ниже).

• Оказывается, функция ожидает массив указателей на TRACE_GUID_PROPERTIES блоков, выделенных вами.

  Другими словами, если он говорит, что знает около 10 трассировочных идентификаторов GUID, вам нужно выделить 10 значений типа TRACE_GUID_PROPERTIES, затем создать массив из 10 указателей на эти значения и передать указатель на 1-й элемент этого массива в функцию.

• Обратите внимание, что между изменениями, происходящими в системе (эти трассировки добавляются или удаляются по ряду причин), и вызовами EnumerateTraceGuids существует неотъемлемая гонка.

  Это означает, что если первый вызов этой функции сообщил вам, что она «знает» около 10 GUID трассировки, при следующем вызове может оказаться, что уже имеется 20 GUID трассировки или 5 GUID (или любое другое их количество FWIW).

  Таким образом, мы учитываем обе эти возможности следующим образом:

  1. Сначала мы делаем вызов с указателем на одно (но допустимое) значение TRACE_GUID_PROPERTIES, выделенное статически (поэтому функция «видит» то, что выглядит как массив из одного элемента), при этом сообщая функции, что входной «массив» имеет нулевые элементы .

     Мы ожидаем, что функция потерпит неудачу с ERROR_MORE_DATA, и поместим фактическое количество трассировочных GUID, о которых она «знает», в переменную, на которую мы предоставили ей указатель.

  2. Мы выделяем столько TRACE_GUID_PROPERTIES памяти, сколько блокирует функция, указанная при первом вызове. Для этого мы используем встроенную функцию new(), которая ведет себя примерно так же, как malloc() в стандартной библиотеке C — она выделяет память для значения указанного типа и возвращает указатель на выделенный блок памяти.

  3. Мы создаем массив указателей на эти выделенные блоки памяти и снова вызываем EnumerateTraceGuids.

  4. Если это удается, мы обрабатываем возможность того, что он вернул меньше элементов, чем мы выделили, и повторно нарезаем наш срез.

  5. Если это не удается с ERROR_MORE_DATA, мы расширяем наш слайс любым необходимым количеством элементов (сначала выделяя память для их TRACE_GUID_PROPERTIES блоков) и пытаемся снова вызвать функцию.

• «Магическое число» 234 — это фактический код значения ERROR_MORE_DATA.

Извините за первоначальную путаницу.