Como posso ler um arquivo dmp?

Existem três tipos de depósitos de memória que podem ser gerados pelo Windows. A primeira, e maior, é chamado de despejo de memória completo. Quando este tipo de despejo é criado, o conteúdo total de memória são gravados em um arquivo DMP.

O segundo, e notavelmente menor, tipo de despejo é o despejo de memória do kernel. Como o próprio nome indica, um despejo de memória do kernel grava apenas a memória do kernel. memória não alocada e de qualquer memória alocada para programas de modo de usuário é ignorado. Isso faz com que analisar o arquivo de despejo mais fácil e menos demorado do que com um despejo de memória completo.

A terceira e mais compacta tipo de despejo, chamou um pequeno despejo de memória, gera um arquivo DMP que está a apenas 64 kilobytes de tamanho. Ele inclui apenas as seguintes informações: a mensagem de parada e seus parâmetros, uma lista de drivers carregados, o contexto do processador (PRCB) para o processador parado, os dados de informação de processo e de contexto kernel (EPROCESS), os dados do processo eo contexto kernel (ETHREAD ) para o segmento parou, ea pilha de chamadas em modo kernel para o segmento parou.

Por padrão, a memória completa despejos e despejos de memória do kernel são ambos escritos para% SystemRoot% Memory.dmp. Somente Windows salva um desses ficheiros de informação de cada vez. Quando uma nova falha ocorre, o arquivo DMP existente será substituído.

arquivos DMP gerados por um pequeno despejo de memória, no entanto, são guardadas em% directório Minidump SystemRoot%. Ao contrário de outros tipos de despejo, arquivos de despejo de memória pequeno existentes não são substituídos quando novos são gerados.

O Windows inclui automaticamente a data no nome do arquivo de memória pequeno despejo arquivos DMP. Por exemplo, um arquivo DMP com o nome "mini043014-01.dmp" foi criada em 30 de abril de 2014. O "-01" a seguir à data no nome do arquivo indica que ele foi o primeiro arquivo DMP criado naquele dia.

Existem dois principais aplicativos de software utilizados para abrir e visualizar arquivos DMP: Windows Debugging Tools e o utilitário Dump Check, também chamado Dumpchk. O Windows Debugging Tools é a melhor opção para analisar despejos de memória completos e despejos de memória do kernel, enquanto Dumpchk é ideal para olhar para pequenos despejos de memória. Ambos os aplicativos podem ser baixados gratuitamente no site da Microsoft. Uma vez que os URLs exatos podem mudar ao longo do tempo, o melhor é procurar os programas por nome em https://microsoft.com e depois baixar a partir dos links resultantes.

Para examinar um arquivo DMP usando Windows Debugging Tools, abra um prompt de comando e navegue até a pasta onde você instalou o Windows Debugging Tools. Em seguida, digite um dos seguintes comandos para abrir o arquivo:

windbg -y SymbolPath -i ImagePath -z DumpFilePath

kd -y SymbolPath -i ImagePath -z DumpFilePath

O primeiro comando irá abrir o arquivo DMP no depurador GUI da Janela, enquanto o segundo comando irá abri-lo em uma interface baseada em texto. O parâmetro SymbolPath refere-se à localização dos símbolos de depuração em seu disco rígido. O parâmetro ImagePath refere-se à localização de seus arquivos de imagem. Finalmente, o parâmetro DumpFilePath é a localização do seu arquivo DMP.

Para abrir um arquivo DMP em Dumpchk, basta digitar o seguinte comando em um prompt de comando:

Dumpchk DumpFilePath

O Windows Debugging Tools oferecem uma série de comandos úteis para analisar arquivos de DMP. O! Analyze saídas de comando -show o código de erro de parada e seus parâmetros. Isso é útil para descobrir o que, exatamente, diretamente levou ao acidente. O comando! Analyze -v exibe as mesmas informações que a saída detalhada. O comando lm N T exibe uma lista de módulos carregados no momento do acidente.

Comparado ao Windows Debugging Tools, Dumpchk é um utilitário bastante simples. Ele é usado principalmente para verificar a integridade dos arquivos de despejo e para visualizá-los. Para testar um arquivo de despejo para erros, você pode usar a extensão de linha de comando -e. Por exemplo, você deve digitar o seguinte na linha de comando:

Dumpchk -e DumpFilePath

Outras opções incluem Dumpchk -v, que gira em torno de modo detalhado, -p, que gera o cabeçalho DMP apenas, e -c, que realiza uma validação despejo rápido.