存储在％Windir％\ System32 \ LogFiles \ WMI \ RtBackup中的内容？

我在挖了一些东西后自己find了答案。

目录C:\Windows\System32\LogFiles\WMI\RtBackup存储实时事件跟踪会话的ETW跟踪文件（扩展名.etl）。 查看RtBackup目录有点困难，因为默认情况下只有系统有权限，但是我的应用程序SetACL Studio仍然可以显示内容。 将目录的内容放在正在运行的事件跟踪会话列表旁边时，会立即注意到相似之处：

并非每个事件跟踪会话都会在目录RtBackup中生成一个文件。 如目录的名称所暗示的，它存储实时跟踪会话的备份。 将RtBackup中的文件列表与每个跟踪会话的属性进行比较，证实了这一点：

我希望这将是一个简单的答案，但我想我将不得不强制读取/写入文件或知道什么时候发生。 无论如何，这是我试图快速一次性的希望。 您将需要从SysInternals 处理实用程序。

 \path\to\handle.exe | find /i "etl" 

祝你好运，快乐的狩猎。