windbgWindbg核心调试之dump分析(组图

二。Dump文件的产生

一.Dump文件的产生，意义和类型

2.单机驱动产生。这种方法，不必用双机联调，在本机上就可以办到。由于驱动深入到了内核，它的要求非常苛刻，一个简单的除零操作就可引发蓝屏。但是驱动的编写与普通win32api是有很大不同的，为了减轻负担，我直接运用一个现成的程序，windbg是《MicrosoftWindowsInternals》作者写的Notmyult(见附件)。它由Notmyult.exe和Myult.sys两部分组成。正如名字一样，引发蓝屏的不是Notmyult.exe而是由他加载到内核中的Myult.sys。如图:

1.完全内存转储。这个文件比较大，和物理内存相当，包含了程序崩溃前系统及用户模式下的所有信息。

2.核心内存转储。这个文件大小约物理内存的三分之一，主要包含崩溃前系统内核的运行情况。一般为了分析内核错误，就选用这种文件。

3.小内存转储。这个文件小，只有64k，刚好一个页面文件大小。它包含了相对比较少的信息，主要可用于微软的在线分析。

当系统发生错误是，最常见的就是蓝屏(Bluescreen)，这时就会在系统目录下产生一个Dump文件，如MEMORY.DMP。这个文件的主要意义在于分析系统错误发生的原因，以作出解决的方法。

由于我们也不知道何时会产生一个系统错误，从而得到dump文件，所以当分析时，可认为产生一个。一般有以下两个办法。

它可分为三种类型：

当系统发生错误是，最常见的就是蓝屏(Bluescreen)，这时就会在系统目录下产生一个Dump文件，如MEMORY.DMP。这个文件的主要意义在于分析系统错误发生的原因，以作出解决的方法。

以上三种形式的文件可以在我的电脑――〉鼠标右键――〉属性――〉高级――〉故障及恢复中设置。如下图：

1.双机联调。这里的双机可以是物理上的两台电脑，也可以是用虚拟机模拟。我想这里的大多数人应该选择后者，为啥?还不是money的问题~_^。当用windbg把被调试机联上以后，就可以用.crash命令产生一个蓝屏，当然之前要在被调试机里把dump产生的径和类型设定好。还有另外一张办法，是通过修改注册表后，用键盘产生dump，但这种方法哪有第一种来的快，所以就不说了，感兴趣的可以查查windbg帮助文档看看。