查看通过 ALPC 端口发送的消息？

Question

我试图找出在 Windows 7 中特定 ALPC 端口上使用的消息，并且由于似乎没有任何地方只记录实际端口本身的端口消息，我想听听某些端口 查看发送到端口的消息。

有谁知道如何做到这一点？

Answer 1

ALPC 调用的目的是快速，因此没有太多拦截点。您最好的选择是：

1. 启用 ETW 内核日志记录并使用ALPC类监视消息流（强烈推荐）
2. 尝试使用Detours库。我不推荐这样做，因为它是一个全局解决方案，并且不允许您查看特定端口。如果您需要部署该解决方案，那就更糟糕了。