Dump檔案分析的常用命令

 

Dump檔案分析的常用命令

1 .symfix可自動化佈建符號檔案的路徑指向微軟的符號庫。相當於：.sympath[+] srv*DownstreamStore*http://msdl.microsoft.com/download/symbols
2  .thread和.process命令來顯示當前線程KTHREAD和進程EPROCESS的結構地址。使用！thread和！process能顯示線程和進程更多的資訊。

3  K 為棧回溯的命令

4  如果發現出現warning：Stack unwind information not available. Following frames may be wrong. 一般講dump目錄加到符號檔案的路徑中就可以了

5  lm能夠列出所用的模組名

6  如果出現 unable to Load image XXX.XXX，可將File->Image File Path的路徑設為該檔案存在的路徑。

7  當有異常發生時，系統會將當時的狀態儲存在一個KTRAP_FRAME結構中，稱為陷阱幀。利用kv命令可以得到關於TrapFrame的資訊顯示為“TrapFrame @ f6869d64”, @後面的為TrapFrame的地址。利用.trap 加上地址可以還原異常發生時的狀態。

8  !analyze命令進行自動分析，可以添加！analyze –v來顯示詳細的資訊。對於dump檔案可以首先利用!analyze進行自動分析，然後再利用上面的命令對自己感興趣的部分進行詳細的分析。