wstrace

Высокопроизводительный монитор системы и API Windows без драйверов на Rust.

Современный strace и Process Monitor в реальном времени для Windows. Написан на нативном Rust и не требует драйверов ядра, включает терминальный пользовательский интерфейс (TUI) в реальном времени и небуферизованную потоковую передачу для диагностики без графического интерфейса.

---

Архитектурные вопросы и ответы

Почему без драйверов ядра?

Сторонние драйверы ядра (.sys) создают риск краха системы (BSOD), расширяют поверхность атаки и требуют исключений для подписи драйверов, запрещённых в корпоративных средах. wstrace работает на 100% в пользовательском режиме, используя неинвазивные отладочные API Win32 и нативные интерфейсы Windows ETW.

Почему не требуется повышение прав администратора?

Стандартные учётные записи пользователей могут запускать и трассировать любую цель через wstrace run <binary>. Порождаемые дочерние процессы напрямую наследуют отладочные дескрипторы (PROCESS_ALL_ACCESS) без запросов UAC. Телеметрия для модулей, потоков, сокетов и ввода-вывода полностью опирается на непривилегированные API Win32.

Почему повышение прав всё же даёт преимущество, если оно есть?

Повышение прав — это ускоритель, а не шлагбаум:

• Стандартный пользователь (по умолчанию): Полная трассировка для run, attach (пользовательская сессия), дочерних процессов (-C), интерактивного TUI и потоковой передачи.
• Администратор: Открывает общесистемный ETW ядра и межсессионную инспекцию (wstrace all) для мониторинга фоновых служб ОС и системных демонов.

---

Установка

1. Однострочник PowerShell (без клонирования)

Выполните в PowerShell, чтобы автоматически установить последний релиз в $HOME\.local\bin и добавить его в пользовательский PATH:

irm https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/install.ps1 | iex

2. Менеджер пакетов Scoop

Установка через персональный bucket:

scoop bucket add gilnett https://github.com/gilnett/scoop-bucket
scoop install wstrace

Или установите напрямую по URL:

scoop install https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/scoop/wstrace.json

3. Автономный бинарный файл (GitHub Releases)

Скачайте предварительно скомпилированные автономные бинарные файлы со страницы GitHub Releases.

4. Cargo (из исходного кода)

Установите напрямую с GitHub:

cargo install --git https://github.com/gilnett/wstrace.git

Или соберите локально из клонированного репозитория:

cargo build --release

Итоговый бинарный файл находится по пути target\release\wstrace.exe.

4. Пакетные менеджеры (Winget и Scoop)

[!NOTE] Манифесты Winget и Scoop автоматически синхронизируются с опубликованными GitHub Releases.

Windows Package Manager (Winget)

[!NOTE] Официальная заявка на пакет в настоящее время проходит проверку и верификацию в microsoft/winget-pkgs. После одобрения и слияния модераторами сообщества его можно будет установить напрямую через:

winget install gilnett.wstrace

Scoop

scoop install .\packaging\scoop\wstrace.json

Быстрый старт и использование

1. Проверка

Убедитесь, что wstrace доступен в текущей оболочке:

wstrace --version

2. Трассировка приложения (интерактивный TUI)

Запустите целевой исполняемый файл с телеметрией Win32 и системы в реальном времени:

wstrace run <executable_path> [-- <arguments>...]

Управление клавиатурой в TUI

Клавиша	Действие	Описание
Ctrl+C	Копировать выбранное	Копирует сведения о выделенном событии в буфер обмена Windows.
Ctrl+A	Копировать всё	Копирует все текущие отфильтрованные события в буфер обмена Windows.
Ctrl+E / Space	Пауза / Продолжить	Замораживает представление событий без потери входящей телеметрии.
Ctrl+X	Очистить буфер	Очищает текущий список событий из буфера отображения.
Tab	Циклическое переключение категорий	Фильтрует события: ALL -> FILE -> REG -> NET -> PROC.
f	Только сбои	Ограничивает представление неудачными операциями (например, доступ запрещён, не найдено).
Up / Down	Навигация	Выбирает событие для детального изучения.
q / Esc	Выход	Корректно завершает сеанс трассировки.

3. Трассировка всей активности в системе

Отслеживайте активные процессы, новые запуски, завершения и загруженные модули в масштабе всей системы в режиме реального времени:

wstrace all

4. Присоединение к работающему процессу

Присоединитесь к существующему процессу по PID или имени бинарного файла без его перезапуска:

# Attach by PID
wstrace attach -p <PID>

# Attach by process name
wstrace attach -n <process_name.exe>

5. Режим потоковой передачи без интерфейса (CI/CD и логирование)

Записывает события в реальном времени напрямую в stdout с ANSI-кодами цвета:

wstrace -m stream [-d <seconds>] run <executable_path>

Полное руководство и расширенные параметры: Для расширенной фильтрации путей (--include / --exclude), отслеживания дочерних процессов (-C), отчётов JSON (--export-json), экспорта в буфер обмена (--copy) и параметров написания скриптов обратитесь к Справочному руководству CLI или выполните wstrace --help.

---

Архитектура и совместимость

• Ядро движка: Rust (редакция 2021)
• Установщик и развёртывание: PowerShell (packaging/install.ps1)
• Терминальный интерфейс: Ratatui + Crossterm
• Сбор телеметрии: Win32 API (ToolHelp32Snapshot, OpenProcess, VirtualQueryEx) и трассировка событий Windows (ETW).
• Целевые архитектуры:
  • x86_64-pc-windows-msvc (Intel / AMD 64-бит)
  • aarch64-pc-windows-msvc (Qualcomm Snapdragon X / Windows on ARM)

---

Корпоративное соответствие и институциональное управление

wstrace разработан для соответствия строгим институциональным требованиям при развёртывании в высокозащищённых корпоративных средах (банковское дело, оборонная отрасль, здравоохранение и критическая инфраструктура):

1. Нулевая утечка данных в облако (изолированные и суверенные среды)

wstrace на 100% работает офлайн и автономно. Он не использует удалённые серверы, не инициирует телеметрию или аналитику и не выполняет исходящих сетевых вызовов. Любые конфиденциальные данные, наблюдаемые при трассировке в реальном времени (API-токены, пути к файлам, учётные данные, содержимое памяти), строго остаются в локальной оперативной памяти и никогда не покидают рабочую станцию.