ETWDUMP(1)                                                          ETWDUMP(1)

<?><?><?> (NAME)
       etwdump - <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?> Event Tracing for Windows (ETW)

<?><?><?><?><?> <?><?><?><?><?> (SYNOPSIS)
       etwdump [ --help ] [ --version ] [ --extcap-interfaces ]
       [ --extcap-dlts ] [ --extcap-interface=<interface> ]
       [ --extcap-config ] [ --capture ] [ --fifo=<path to file or pipe> ]
       [ --iue=<Should undecidable events be included> ]
       [ --etlfile=<etl file> ] [ --params=<filter parameters> ]

<?><?><?><?><?><?><?> (DESCRIPTION)
       etwdump <?><?> <?><?><?><?><?> extcap <?><?><?> <?><?>
       <?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?> (event trace) <?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?> <?><?><?><?><?> <?><?><?><?><?><?>.  <?><?><?> <?><?><?><?><?>
       <?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> Windows <?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?> (<?><?><?><?><?> <?><?><?><?><?><?><?><?> MBIM <?> IP)
       <?><?><?>.

<?><?><?><?><?><?><?><?> (OPTIONS)
       --help
           <?><?><?> <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>.

       --version
           <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.

       --extcap-interfaces
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?>.

       --extcap-interface=<interface>
           <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?>.

       --extcap-dlts
           <?><?><?><?><?> <?><?><?><?> DLT<?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?>.

       --extcap-config
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>.

       --capture
           <?><?><?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
           <?> <?><?><?><?><?><?> <?><?> <?><?> <?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?> --fifo.

       --fifo=<path to file or pipe>
           <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
           <?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
           <?><?><?><?> (pipe).

       --iue=<Should undecidable events be included>
           <?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?>
           <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?><?><?> (undecidable) <?><?><?><?><?><?><?>
           <?><?><?><?> <?><?> <?><?><?>.

       --etlfile=<Etl file>
           <?><?><?><?><?><?> <?><?><?><?> etl <?><?><?><?> <?><?><?><?><?>
           <?><?> Wireshark.

       --params=<filter parameters>
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?><?><?><?><?><?> (providers)<?>
           <?><?><?><?><?><?><?><?> <?> <?><?><?> (level) <?><?><?><?>
           <?><?><?><?> etl <?> <?><?><?><?> <?><?><?><?>.

<?><?><?><?><?><?><?> (EXAMPLES)
       <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?>:

           etwdump --help

       <?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>:

           etwdump --version

       <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>:

           etwdump --extcap-interfaces

       <?><?><?><?><?> <?><?><?><?><?>

           interface {value=etwdump}{display=ETW reader}

       <?><?><?><?> <?><?><?><?> DLT<?><?><?> <?><?><?><?>:

           etwdump --extcap-interface=etwdump --extcap-dlts

       <?><?><?><?><?> <?><?><?><?><?>

           dlt {number=1}{name=etwdump}{display=DLT_ETW}

       <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?>:

           etwdump --extcap-interface=etwdump --extcap-config

       <?><?><?><?><?> <?><?><?><?><?>

           arg {number=0}{call=--etlfile}{display=etl file}{type=fileselect}{tooltip=Select etl file to display in Wireshark}{group=Capture}
           arg {number=1}{call=--params}{display=filter parameters}{type=string}{tooltip=Input providers, keyword and level filters for the etl file and live session}{group=Capture}
           arg {number=2}{call=--iue}{display=Should undecidable events be included}{type=boolflag}{default=false}{tooltip=Choose if the undecidable event is included}{group=Capture}

       <?><?><?><?> <?><?><?> <?><?><?><?>:

           etwdump --extcap-interface etwdump --fifo=/tmp/etw.pcapng --capture --params "--p=Microsoft-Windows-Wmbclass-Opn --p=Microsoft-Windows-wmbclass --k=0xff --l=4"
           etwdump --extcap-interface etwdump --fifo=/tmp/etw.pcapng --capture --params "--p=Microsoft-Windows-Wmbclass-Opn --p=Microsoft-Windows-NDIS-PacketCapture"

           <?><?><?><?>

           <?><?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?> CTRL+C <?><?> <?><?><?><?> <?><?><?><?>
           <?><?> <?><?><?><?><?><?> <?><?> kill/terminate <?><?><?><?>.

<?><?><?><?><?><?> <?><?><?><?><?><?> (SEE ALSO)
       wireshark(1), tshark(1), dumpcap(1), extcap(4)

<?><?><?><?> (NOTES)
       etwdump <?><?><?><?> <?><?> <?><?><?><?><?> Wireshark <?><?><?>.
       <?><?><?><?><?> <?><?><?><?><?> Wireshark <?><?> <?><?><?><?><?><?><?>
       <?><?>  <https://www.wireshark.org>.

       <?><?><?><?><?><?><?><?> HTML <?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?> Wireshark <?><?> <?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?>:
       <https://www.wireshark.org/docs/man-pages>.

<?><?><?><?><?><?><?><?><?> (AUTHORS)
       <?><?><?><?><?><?><?><?> <?><?><?><?>
       Odysseus Yang
        <wiresharkyyh@outlook.com>

                                  2026-09-03                        ETWDUMP(1)