doc/man_pages/etwdump.adoc

   1 include::../attributes.adoc[]
   2 = etwdump(1)
   3 :doctype: manpage
   4 :stylesheet: ws.css
   5 :linkcss:
   6 :copycss: {css_dir}/{stylesheet}
   7
   8 == NAME
   9
  10 etwdump - Provide an interface to read Event Tracing for Windows (ETW)
  11
  12 == SYNOPSIS
  13
  14 [manarg]
  15 *etwdump*
  16 [ *--help* ]
  17 [ *--version* ]
  18 [ *--extcap-interfaces* ]
  19 [ *--extcap-dlts* ]
  20 [ *--extcap-interface*=<interface> ]
  21 [ *--extcap-config* ]
  22 [ *--capture* ]
  23 [ *--fifo*=<path to file or pipe> ]
  24 [ *--iue*=<Should undecidable events be included> ]
  25 [ *--etlfile*=<etl file> ]
  26 [ *--params*=<filter parameters> ]
  27
  28 == DESCRIPTION
  29
  30 *etwdump* is a extcap tool that provides access to a event trace log file or an event trace live session.
  31 It is only used to display event trace on Windows that includes readable text message and different protocols (like MBIM and IP packets).
  32
  33 == OPTIONS
  34
  35 --help::
  36 Print program arguments.
  37
  38 --version::
  39 Print program version.
  40
  41 --extcap-interfaces::
  42 List available interfaces.
  43
  44 --extcap-interface=<interface>::
  45 Use specified interfaces.
  46
  47 --extcap-dlts::
  48 List DLTs of specified interface.
  49
  50 --extcap-config::
  51 List configuration options of specified interface.
  52
  53 --capture::
  54 Start capturing from specified interface save saved it in place specified by --fifo.
  55
  56 --fifo=<path to file or pipe>::
  57 Save captured packet to file or send it through pipe.
  58
  59 --iue=<Should undecidable events be included>::
  60 Choose if the undecidable event is included.
  61
  62 --etlfile=<Etl file>::
  63 Select etl file to display in Wireshark.
  64
  65 --params=<filter parameters>::
  66 Input providers, keyword and level filters for the etl file and live session.
  67
  68 == EXAMPLES
  69
  70 To see program arguments:
  71
  72     etwdump --help
  73
  74 To see program version:
  75
  76     etwdump --version
  77
  78 To see interfaces:
  79
  80     etwdump --extcap-interfaces
  81
  82 .Example output
  83     interface {value=etwdump}{display=ETW reader}
  84
  85 To see interface DLTs:
  86
  87     etwdump --extcap-interface=etwdump --extcap-dlts
  88
  89 .Example output
  90     dlt {number=1}{name=etwdump}{display=DLT_ETW}
  91
  92 To see interface configuration options:
  93
  94     etwdump --extcap-interface=etwdump --extcap-config
  95
  96 .Example output
  97     arg {number=0}{call=--etlfile}{display=etl file}{type=fileselect}{tooltip=Select etl file to display in Wireshark}{group=Capture}
  98     arg {number=1}{call=--params}{display=filter parmeters}{type=string}{tooltip=Input providers, keyword and level filters for the etl file and live session}{group=Capture}
  99     arg {number=2}{call=--iue}{display=Should undecidable events be included}{type=boolflag}{default=false}{tooltip=Choose if the undecidable event is included}{group=Capture}
 100
 101 To capture:
 102
 103     etwdump --extcap-interface etwdump --fifo=/tmp/etw.pcapng --capture --params "--p=Microsoft-Windows-Wmbclass-Opn --p=Microsoft-Windows-wmbclass --k=0xff --l=4"
 104     etwdump --extcap-interface etwdump --fifo=/tmp/etw.pcapng --capture --params "--p=Microsoft-Windows-Wmbclass-Opn --p=Microsoft-Windows-NDIS-PacketCapture"
 105
 106 NOTE: To stop capturing CTRL+C/kill/terminate the application.
 107
 108 == SEE ALSO
 109
 110 xref:wireshark.html[wireshark](1), xref:tshark.html[tshark](1), xref:dumpcap.html[dumpcap](1), xref:extcap.html[extcap](4)
 111
 112 == NOTES
 113
 114 *etwdump* is part of the *Wireshark* distribution.  The latest version
 115 of *Wireshark* can be found at https://www.wireshark.org.
 116
 117 HTML versions of the Wireshark project man pages are available at
 118 https://www.wireshark.org/docs/man-pages.
 119
 120 == AUTHORS
 121
 122 .Original Author
 123 [%hardbreaks]
 124 Odysseus Yang <wiresharkyyh@outlook.com>