Eigenständiger Zero-Driver-Windows-System- und API-Monitor in Rust
Hochleistungsfähiger Windows-System- und API-Monitor ohne Treiber in Rust.
Modernes strace und Echtzeit-Process-Monitor für Windows. In nativem Rust ohne erforderliche Kernel-Treiber entwickelt, mit einer Echtzeit-Terminal-Benutzeroberfläche (TUI) und ungepufferter Streaming-Ausgabe für Headless-Diagnosen.
Kernel-Treiber von Drittanbietern (.sys) bergen das Risiko von Systemabstürzen (BSOD), vergrößern die Angriffsfläche und erfordern Treibersignierungs-Ausnahmen, die in Unternehmensumgebungen verboten sind. wstrace läuft zu 100 % im Userland und nutzt nicht-invasive Win32-Debugging-APIs sowie native Windows-ETW-Schnittstellen.
Standardbenutzerkonten können jedes Ziel über wstrace run <binary> ausführen und tracen. Gestartete Kindprozesse erben Debugging-Handles (PROCESS_ALL_ACCESS) direkt ohne UAC-Abfragen. Die Telemetrie für Module, Threads, Sockets und I/O stützt sich vollständig auf unprivilegierte Win32-APIs.
Elevation ist ein Beschleuniger, kein Zugangskriterium:
run, attach (Benutzersitzung), Kindprozesse (-C), interaktive TUI und Streaming.wstrace all) frei, um Hintergrund-OS-Dienste und System-Daemons zu überwachen.In PowerShell ausführen, um automatisch die neueste Version nach $HOME\.local\bin zu installieren und sie dem Benutzer-PATH hinzuzufügen:
irm https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/install.ps1 | iex
Installation über den persönlichen Bucket:
scoop bucket add gilnett https://github.com/gilnett/scoop-bucket
scoop install wstrace
Oder direkt per URL installieren:
scoop install https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/scoop/wstrace.json
Laden Sie vorkompilierte Standalone-Binaries von GitHub Releases herunter.
Direkt von GitHub installieren:
cargo install --git https://github.com/gilnett/wstrace.git
Oder erstellen Sie es lokal aus einem geklonten Repository:
cargo build --release
Die resultierende Binärdatei befindet sich unter target\release\wstrace.exe.
[!NOTE] Winget- und Scoop-Manifeste werden automatisch mit veröffentlichten GitHub Releases synchronisiert.
[!NOTE] Die offizielle Paketeinreichung wird derzeit auf microsoft/winget-pkgs geprüft und verifiziert. Sobald sie von den Community-Moderatoren genehmigt und zusammengeführt wurde, kann sie direkt installiert werden über:
winget install gilnett.wstrace
scoop install .\packaging\scoop\wstrace.json
Bestätigen Sie, dass wstrace in der aktuellen Shell verfügbar ist:
wstrace --version
Starten Sie eine Zieldatei mit Echtzeit-Win32- und System-Telemetrie:
wstrace run <executable_path> [-- <arguments>...]
| Taste | Aktion | Beschreibung |
|---|---|---|
Ctrl+C | Auswahl kopieren | Kopiert die Details des hervorgehobenen Ereignisses in die Windows-Zwischenablage. |
Ctrl+A | Alles kopieren | Kopiert alle aktuell gefilterten Ereignisse in die Windows-Zwischenablage. |
Ctrl+E / Space | Pausieren / Fortsetzen | Friert die Ereignisansicht ein, ohne eingehende Telemetrie zu verwerfen. |
Ctrl+X | Puffer leeren | Leert die aktuelle Ereignisliste aus dem Anzeigepuffer. |
Tab | Kategorie wechseln | Filtert Ereignisse: ALL -> FILE -> REG -> NET -> PROC. |
f | Nur Fehler | Beschränkt die Ansicht auf fehlgeschlagene Vorgänge (z. B. Zugriff verweigert, nicht gefunden). |
Up / Down | Navigation | Wählt ein Ereignis für die Detailprüfung aus. |
q / Esc | Beenden | Beendet die Tracing-Sitzung sauber. |
Überwachen Sie aktive Prozesse, neue Starts, Beendigungen und geladene Module systemweit in Echtzeit:
wstrace all
Hängen Sie sich an einen bestehenden Prozess per PID oder Binärnamen an, ohne ihn neu zu starten:
# Attach by PID
wstrace attach -p <PID>
# Attach by process name
wstrace attach -n <process_name.exe>
Schreibt Live-Ereignisse direkt nach stdout mit ANSI-Farbcodes:
wstrace -m stream [-d <seconds>] run <executable_path>
Umfassendes Handbuch & erweiterte Optionen: Für erweiterte Pfadfilterung (
--include/--exclude), Kindprozess-Verfolgung (-C), JSON-Berichte (--export-json), Zwischenablage-Exporte (--copy) und Skripting-Optionen konsultieren Sie das CLI-Referenzhandbuch oder führen Siewstrace --helpaus.
packaging/install.ps1)ToolHelp32Snapshot, OpenProcess, VirtualQueryEx) & Event Tracing for Windows (ETW).x86_64-pc-windows-msvc (Intel / AMD 64-Bit)aarch64-pc-windows-msvc (Qualcomm Snapdragon X / Windows on ARM)wstrace ist darauf ausgelegt, strenge institutionelle Anforderungen für den Einsatz in hochsicheren Unternehmensumgebungen (Bankwesen, Verteidigung, Gesundheitswesen und kritische Infrastruktur) zu erfüllen:
wstrace ist zu 100 % offline und eigenständig. Es unterhält keine Remote-Server, initiiert keine Telemetrie oder Analysen und führt keine ausgehenden Netzwerkaufrufe durch. Alle sensiblen Daten, die während der Live-Verfolgung beobachtet werden (API-Tokens, Dateipfade, Anmeldedaten, Speicherinhalte), verbleiben strikt im lokalen RAM und verlassen niemals die Workstation.
Im Gegensatz zu herkömmlichen Tracing-Dienstprogrammen, die Kernel-Treiber von Drittanbietern (.sys) installieren – was Systemabsturzrisiken (Blue Screen of Death / BSOD) und Ring-0-Backdoor-Angriffsflächen mit sich bringt –, arbeitet wstrace ohne Kernel-Treiber. Es stützt sich ausschließlich auf nicht-invasive Userland-Win32-Debugging- und native Windows-Kernel-ETW-Consumer-Schnittstellen.