Teilen über

Winsock Network Event Tracing Details

  • Artikel

Im Folgenden werden die einzelnen Winsock-Netzwerkereignisse beschrieben, die nachverfolgt werden können, und beschreibt, welche Parameter und Informationen protokolliert werden.

Socketerstellung

Ereignis-ID = 1

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für die Socketerstellung nachverfolgt:

  • Sockethandles, die durch Aufrufe des Sockets oder WSASocket--Funktionen erstellt werden.
  • Akzeptierte Sockethandles für Überwachungssockets.
  • Socket handles created by calls to the WSAJoinLeaf function.
  • Socket handles re-used by calls to the AcceptEx or ConnectEx functions.

Die folgenden Parameter werden für ein Socketerstellungsereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
SocketType
 Der Typ des Sockets.
Protokoll
 Das Protokoll des Sockets.
UserModePid
 Die Prozess-ID für den Benutzermodus, die den Socket erstellt hat.

 

Socketbindung

Ereignis-ID = 2 (IPv4), Ereignis-ID = 3 (IPv6)

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für einen Bindungsvorgang nachverfolgt:

  • Implizite oder explizite Bindung eines Sockethandles.

Die folgenden Parameter werden für ein Bindungsereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Adresse
 Die lokale IP-Adresse.
Port
 Die lokale IP-Portnummer.
Status
 Der für den Bindungsvorgang zurückgegebene Status- oder Fehlercode.

 

Fehlgeschlagene Bindung

Ereignis-ID = 40

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für einen fehlgeschlagenen Bindungsvorgang nachverfolgt:

  • Implizite oder explizite Bindung eines Sockethandle, das fehlschlägt.

Die folgenden Parameter werden für ein fehlgeschlagenes Bindungsereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den fehlgeschlagenen Bindungsvorgang zurückgegebene Fehlercode.

 

Socket Connect

Ereignis-ID = 4 (IPv4), Ereignis-ID = 5 (IPv6)

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für eine Verbindungsvorgangsanforderung nachverfolgt (ein Aufruf der connect, ConnectEx, WSAConnect, WSAConnectByListoder WSAConnectByName Funktion):

  • Verbinden eines Sockets mit einem Ziel für einen verbindungsorientierten oder einen verbindungslosen Socket.

Die folgenden Parameter werden für ein Connect-Ereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Adresse
 Die Remote-IP-Adresse.
Port
 Die Remote-IP-Portnummer.

 

Verbindung abgeschlossen

Ereignis-ID = 6

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für eine abgeschlossene Verbindung nachverfolgt:

  • Der Verbindungsvorgang ist abgeschlossen.

Die folgenden Parameter werden für ein abgeschlossenes Connect-Ereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Verbindungsvorgang zurückgegebene Fehlercode.

 

AFD-Initiated Abbrechen

Ereignis-ID = 7

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für Winsock-initiierte Abbrüche oder Abbruchvorgänge nachverfolgt:

  • Ein Abbruch aufgrund ungelesener Empfangsdaten, die nach dem Schließen gepuffert wurden.
  • Ein Abbruch nach einem Aufruf des Herunterfahrens Funktion mit der , wie Parameter auf SD_RECEIVE festgelegt ist, und einen Aufruf der closesocket--Funktion mit ausstehenden Empfangsdaten.
  • Ein Abbruch nach einem fehlgeschlagenen Versuch, den Endpunkt zu leeren.
  • Ein Abbruch nach einem internen Winsock-Fehler ist aufgetreten.
  • Ein Abbruch aufgrund einer Verbindung mit Fehlern und der Anwendung hat zuvor angefordert, dass die Verbindung unter bestimmten Umständen abgebrochen wird. Ein Beispiel für diesen Fall wäre eine Anwendung, die SO_LINGER mit einem Timeout von Null festgelegt hat und noch nicht bekannte Daten in der Verbindung vorhanden sind.
  • Ein Abbruch für eine Verbindung, die nicht vollständig mit dem Akzeptieren des Endpunkts verknüpft ist.
  • Ein Abbruch bei einem fehlgeschlagenen Aufruf des akzeptieren oder AcceptEx--Funktion.
  • Ein Abbruch aufgrund eines fehlgeschlagenen Empfangsvorgangs.
  • Ein Abbruch aufgrund eines Plug and Play-Ereignisses.
  • Ein Abbruch aufgrund einer fehlgeschlagenen Flush-Anforderung.
  • Ein Abbruch aufgrund einer fehlgeschlagenen beschleunigten Datenerhaltungsanforderung.
  • Ein Abbruch aufgrund einer fehlgeschlagenen Sendeanforderung.
  • Ein Abbruch aufgrund einer abgebrochenen Sendeanforderung.
  • Ein Abbruch aufgrund eines abgebrochenen Aufrufs der TransmitPackets--Funktion.

Die folgenden Parameter werden für einen winsock-initiierten Abbruch- oder Abbruchvorgang protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Grund
 Der Grund für den Vorgang "Abbrechen" oder "Abbrechen".

 

Transport-Initiated Abbrechen

Ereignis-ID = 8

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für vom Transport initiierte Abbruch- oder Abbruchvorgänge nachverfolgt:

  • Durch den Transport angegebenes Zurücksetzen.

Die folgenden Parameter werden für einen winsock-initiierten Abbruch- oder Abbruchvorgang protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Grund
 Der Grund für den Vorgang "Abbrechen" oder "Abbrechen".

 

Fehler beim Senden einer Anforderung

Ereignis-ID = 9

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden auf Fehler beim senden oder WSASend--Anforderungen nachverfolgt:

  • Fehler, die bei fehlgeschlagenen Senden von oder WSASend- anforderungen zurückgegeben wurden.

Die folgenden Parameter werden für sendeanforderungen protokolliert, die zu einem Fehler führen:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Vorgang zurückgegebene Fehlercode.

 

Fehlgeschlagene WsaSendMsg-Anforderung

Ereignis-ID = 10

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden auf Fehler bei WSASendMsg Anforderungen nachverfolgt:

  • Fehler, die bei fehlgeschlagenen WSASendMsg Anforderungen zurückgegeben wurden.

Die folgenden Parameter werden für sendeanforderungen protokolliert, die zu einem Fehler führen:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Vorgang zurückgegebene Fehlercode.

 

Fehlgeschlagene Recv-Anforderung

Ereignis-ID = 11

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden auf Fehler für recv-, WSARecv-oder WSARecvEx- anforderungen nachverfolgt:

  • Fehler, die bei fehlgeschlagenen Empfangen-Anforderungen zurückgegeben werden.

Die folgenden Parameter werden für sendeanforderungen protokolliert, die zu einem Fehler führen:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Vorgang zurückgegebene Fehlercode.

 

Fehlgeschlagene Recvfrom-Anforderung

Ereignis-ID = 12

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden auf Fehler bei recvfrom oder WSARecvFrom Anforderungen nachverfolgt:

  • Fehler, die bei fehlgeschlagenen recvfrom oder WSARecvFrom Anforderungen zurückgegeben wurden.

Die folgenden Parameter werden für eine recvfrom oder WSARecvFrom-Anforderung protokolliert, die zu einem Fehler führt:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Vorgang zurückgegebene Fehlercode.

 

Socket schließen

Ereignis-ID = 13

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für Socketschließvorgänge nachverfolgt:

  • Ein Socketziehpunkt wird geschlossen.

Die folgenden Parameter werden für ein Socket close-Ereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der Rückgabewert für den Socketschließvorgang.

 

Socketbereinigung

Ereignis-ID = 14

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für Socketbereinigungsvorgänge (Herunterfahren) nachverfolgt:

  • Die Herunterfahren Funktion wird für einen Socket aufgerufen.
  • Der Transport gibt an, dass die Verbindung nicht ordnungsgemäß getrennt wurde.

Die folgenden Parameter werden für ein Socketbereinigungsereignis (Herunterfahren) oder ein Socketschließereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der Rückgabewert für den Socketbereinigungsvorgang (Herunterfahren).

 

Socket Accept

Ereignis-ID = 15 (IPv4), Ereignis-ID = 16 (IPv6)

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für eine akzeptieren, AcceptEx-oder WSAAccept-Funktionsanforderung nachverfolgt:

Die folgenden Parameter werden für ein Accept-Ereignis protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Adresse
 Die Remote-IP-Adresse.
Port
 Die Remote-IP-Portnummer.
Status
 Der für den Annahmevorgang zurückgegebene Status- oder Fehlercode.

 

Fehler beim Annehmen

Ereignis-ID = 17

Ebene = 4 (Informationen)

Die folgenden Winsock-Ereignisse werden für einen Fehlgeschlagenen Annahmevorgang nachverfolgt:

Die folgenden Parameter werden für ein Ereignis für die fehlgeschlagene Annahme protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den Fehlerakzeptervorgang zurückgegebene Fehlercode.

 

Gepostet senden

Ereignis-ID = 18

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für Socket-Sende- und Empfangspuffer-Postvorgänge nachverfolgt:

  • Eine Anwendung sendet eine Nachricht.
  • Ein Sendevorgang wird an Winsock abgeschlossen.

Die folgenden Parameter werden für Socket-Sendevorgänge protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
FastPath
 Ein boolescher Wert, der angibt, ob schnelle Pfad-E/A verwendet wurde.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers. Bei verketteten Puffern ist dieser Parameter die Gesamtanzahl der Bytes in allen Puffern in der Kette.

 

Wenn FastPath wahr ist, wird die Benutzermodusadresse des ersten Puffers im Array von Puffern im Parameter Buffer protokolliert. Wenn FastPath falsch ist, wird die Winsock-Kernelpufferadresse im Parameter Buffer protokolliert.

Posten empfangen

Ereignis-ID = 19

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für Socket-Empfangspuffer-Postvorgänge nachverfolgt:

  • Eine Anwendung veröffentlicht einen Empfang.
  • Ein Empfangsvorgang wird für Winsock abgeschlossen.

Die folgenden Parameter werden für Socket-Empfangsvorgänge protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
FastPath
 Ein boolescher Wert, der angibt, ob schnelle Pfad-E/A verwendet wurde.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers. Bei verketteten Puffern ist dieser Parameter die Gesamtanzahl der Bytes in allen Puffern in der Kette.

 

Wenn FastPath wahr ist, wird die Benutzermodusadresse des ersten Puffers im Array von Puffern im Parameter Buffer protokolliert. Wenn FastPath falsch ist, wird die Winsock-Kernelpufferadresse im Parameter Buffer protokolliert.

RecvFrom Posted

Ereignis-ID = 20

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für einen Recvfrom Pufferbeitragsvorgangs in einem Socket nachverfolgt:

  • Eine Anwendung veröffentlicht einen Empfang vom Vorgang.

Die folgenden Parameter werden für den Recvfrom-Vorgang protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
FastPath
 Ein boolescher Wert, der angibt, ob schnelle Pfad-E/A verwendet wurde.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers. Bei verketteten Puffern ist dieser Parameter die Gesamtanzahl der Bytes in allen Puffern in der Kette.

 

Wenn FastPath wahr ist, wird die Benutzermodusadresse des ersten Puffers im Array von Puffern im Parameter Buffer protokolliert. Wenn FastPath falsch ist, wird die Winsock-Kernelpufferadresse im Parameter Buffer protokolliert.

SendTo Gepostet

Ereignis-ID = 21 (IPv4), Ereignis-ID = 22 (IPv6)

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für einen Sendto- Pufferbeitragsvorgang in einem Socket nachverfolgt:

  • Eine Anwendung veröffentlicht ein Senden von.

Die folgenden Parameter werden für den sendto--Vorgang protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
FastPath
 Ein boolescher Wert, der angibt, ob schnelle Pfad-E/A verwendet wurde.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers. Bei verketteten Puffern ist dieser Parameter die Gesamtanzahl der Bytes in allen Puffern in der Kette.
Adresse
 Die Remote-IP-Adresse des Sockets.
Port
 Die Remote-IP-Portnummer des Sockets.

 

Wenn FastPath wahr ist, wird die Benutzermodusadresse des ersten Puffers im Array von Puffern im Parameter Buffer protokolliert. Wenn FastPath falsch ist, wird die Winsock-Kernelpufferadresse im Parameter Buffer protokolliert.

Recv Abgeschlossen

Ereignis-ID = 23

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für abgeschlossene Socketvorgänge nachverfolgt:

  • Ein Sendevorgang wird für den Transport abgeschlossen.
  • Ein Empfangsvorgang wird für den Transport abgeschlossen.

Die folgenden Parameter werden für das Senden abgeschlossen oder empfangen protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des empfangenen Bytespuffers. Bei verketteten Puffern handelt es sich bei diesem Parameter um die Gesamtanzahl der Bytes, die in allen Puffern in der Kette empfangen werden.

 

Abgeschlossen senden

Ereignis-ID = 24

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden für abgeschlossene Socket-Sendevorgänge nachverfolgt:

  • Ein Sendevorgang wird für den Transport abgeschlossen.

Die folgenden Parameter werden für eine abgeschlossene Übermittlung protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers der gesendeten Bytes. Bei verketteten Puffern ist dieser Parameter die Gesamtzahl der Bytes, die von allen Puffern in der Kette gesendet werden.

 

SendMsg abgeschlossen

Ereignis-ID = 25

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn ein WSASendMsg Puffer nach dem Vorgang in einem Socket abgeschlossen wird:

  • Eine Anwendung schließt einen WSASendMsg Vorgang ab.

Die folgenden Parameter werden für die WSASendMsg Abschluss protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers der gesendeten Bytes. Bei verketteten Puffern ist dieser Parameter die Gesamtzahl der Bytes, die von allen Puffern in der Kette gesendet werden.
Adresse
 Die Remote-IP-Adresse des Sockets.
Port
 Die Remote-IP-Portnummer des Sockets.

 

RecvFrom Completed

Ereignis-ID = 26 (IPv4), Ereignis-ID = 27 (IPv6)

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn ein recvfrom Puffer nach dem Vorgang in einem Socket abgeschlossen wird:

  • Eine Anwendung schließt einen recvfrom Vorgang ab.

Die folgenden Parameter werden für den abschluss recvfrom protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des empfangenen Bytespuffers. Bei verketteten Puffern handelt es sich bei diesem Parameter um die Gesamtanzahl der Bytes, die in allen Puffern in der Kette empfangen werden.
Adresse
 Die Remote-IP-Adresse des Sockets.
Port
 Die Remote-IP-Portnummer des Sockets.

 

SendTo Completed

Ereignis-ID = 28

Level = 5 (Ausführlich)

Um eine Benutzerpufferbeschädigung zu diagnostizieren (z. B. wenn eine Anwendung denselben Puffer in einem anderen Sende- oder Empfangsaufruf wieder verwendet, während er noch verwendet wird), wird der Datenpuffer protokolliert, wenn er in Winsock gepostet und nach Abschluss des zugrunde liegenden Transports abgeschlossen wird. Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn ein sendto Puffer nach dem Vorgang in einem Socket abgeschlossen ist:

  • Eine Anwendung schließt einen Sendto--Vorgang ab.

Die folgenden Parameter werden für den Sendto Abschluss protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
BufferCount
 Die Pufferanzahl.
Puffer
 Die virtuelle Adresse des Puffers. Bei verketteten Puffern ist dieser Parameter die virtuelle Adresse des ersten Puffers in der Kette.
BufferLength
 Die Länge des Puffers der gesendeten Bytes. Bei verketteten Puffern ist dieser Parameter die Gesamtzahl der Bytes, die von allen Puffern in der Kette gesendet werden.
Adresse
 Die Remote-IP-Adresse des Sockets.
Port
 Die Remote-IP-Portnummer des Sockets.

 

Socketoptionssatz

Ereignis-ID = 29

Level = 5 (Ausführlich)

Wenn eine Anwendung bestimmte Socketoptionswerte und Ioctls ändert, werden die neuen Werte protokolliert. Die protokollierten Optionen können verwendet werden, um schlechte Leistung oder seltsames Verhalten in Anwendungen zu diagnostizieren. Die folgenden Winsock-Ereignisse werden für bestimmte Socketoptionen und Ioctls nachverfolgt:

  • SO_SNDBUF Änderungen.
  • SO_RCVBUF Änderungen.
  • FIONBIO
  • SIO_ENABLE_CIRCULAR_QUEUEING
  • SIO_UDP_CONNRESET
  • SO_OOBINLINE

Die folgenden Parameter werden für setockopt protokolliert, und WSAIoctl Funktionsaufrufe, die einen der oben genannten Werte ändern:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
option
Die geänderte Socketoption oder Ioctl.
wert
Der neue Wert für die Socketoption oder Ioctl.

 

Bereitgestellte Auswahl/Umfrage

Ereignis-ID = 30

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn eine Anwendung die select oder WSAPoll--Funktion aufruft:

  • Die Anwendung stellt eine eine oder WSAPoll Anforderung aus.

Die folgenden Parameter werden für auswählen oder WSAPoll--Ereignisse protokolliert:

Parameter Beschreibung
Prozess
 Die besitzereigene Prozess-ID.
HandleCount
 Die Anzahl der Von der Anwendung übergebenen Handles (gilt nur für das initiierende Ereignis).
Timeout
 Die maximale Zeit für die Wählen Sie oder WSAPoll--Funktion aus, um zu warten.

 

Auswahl/Umfrage abgeschlossen

Ereignis-ID = 31

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn eine Anwendung die select oder WSAPoll--Funktion aufruft:

  • Winsock schließt einen oder WSAPoll Anruf aus.

Die folgenden Parameter werden protokolliert, wenn ein oder WSAPoll- Vorgang abgeschlossen ist:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Fehler
 Der für den zurückgegebene Fehlercode wählt oder WSAPoll--Vorgang aus.

 

WSAEventSelect

Ereignis-ID = 32

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden nachverfolgt, wenn eine Anwendung die WSAEventSelect--Funktion aufruft:

  • Protokollieren Sie das Ereignisformat, das in der WSAEventSelect--Funktion übergeben wird.

Die folgenden Parameter werden für WSAEventSelect Funktionsaufrufe protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
EventMask
 Der Wert für das Ereignisformat.

 

Gelöschtes Datagramm

Ereignis-ID = 33 (IPv4), Ereignis-ID = 34 (IPv6)

Level = 5 (Ausführlich)

Um Probleme mit Datagrammanwendungen zu diagnostizieren, werden die folgenden Winsock-Ereignisse nachverfolgt:

  • Wenn ein Datagramm eingeht und nicht genügend Pufferspeicherplatz vorhanden ist, wird es gelöscht.
  • Bei einem verbundenen Datagramm, wenn Daten von einer anderen Quelle als dem verbundenen Ziel empfangen werden.

Die folgenden Parameter werden für verworfene Datagramme protokolliert:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
PacketSize
 Die Größe des Pakets, das gelöscht wurde.
Adresse
 Die IP-Adresse der Quelle des Pakets.
Port
 Die IP-Portnummer der Quelle des Pakets.
Grund
 Der Fehlercode oder der Grund, warum das Paket verworfen wurde.

 

Verbindung angegeben

Ereignis-ID = 35 (IPv4), Ereignis-ID = 36 (IPv6)

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden für angegebene Verbindungsvorgänge nachverfolgt:

  • Eine Anwendung empfängt eine Verbindungsanforderung.

Die folgenden Parameter werden für Verbindungen protokolliert, die von Transportereignissen angegeben werden:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Adresse
 Die Remote-IP-Adresse.
Port
 Die Remote-IP-Portnummer.

 

Angegebene Daten

Ereignis-ID = 37

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden für datenbezogene Vorgänge nachverfolgt:

  • Eine Anwendung empfängt Daten in einem verbundenen Socket.

Die folgenden Parameter werden für daten protokolliert, die von Transportereignissen angegeben werden:

Parameter Beschreibung
Prozess
 Die besitzereigene Prozess-ID.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Byte angegeben
 Die Anzahl der im Socket empfangenen Bytes.

 

Vom Transport angegebene Daten

Ereignis-ID = 38 (IPv4), Ereignis-ID = 39 (IPv6)

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden für Daten nachverfolgt, die aus Transportvorgängen angegeben werden:

  • Eine Anwendung sendet eine Empfangsanfrage und empfängt Daten.

Die folgenden Parameter werden für daten protokolliert, die von Transportereignissen angegeben werden:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.
Adresse
 Die Remote-IP-Adresse.
Port
 Die Remote-IP-Portnummer.
Byte angegeben
 Die Anzahl der im Socket empfangenen Bytes.

 

Verbindung getrennt vom Transport

Ereignis-ID = 41

Level = 5 (Ausführlich)

Die folgenden Winsock-Ereignisse werden für die getrennten Vorgänge nachverfolgt:

  • Eine Anwendung erhält eine Verbindungsanzeige.

Die folgenden Parameter werden protokolliert, damit die Verbindung von Transportereignissen getrennt wird:

Parameter Beschreibung
Prozess
 Die Kernel-EPROCESS-Strukturadresse für den Prozess.
Endpunkt
 Die Winsock-Kernel-Socketadresse, die als eindeutiger Bezeichner für einen Socket verwendet wird.

 

Kontrolle der Winsock-Ablaufverfolgung

Winsock-Ablaufverfolgung

Winsock Catalog Change Tracing Details

Winsock-Ablaufverfolgungsebenen