Memory.dmp dosyası nedir ve ne zaman analiz edilmeye değerdir?

¿Memory.dmp dosyası nedir ve ne zaman analiz edilmelidir? Windows donduğunda, mavi ekran göründüğünde veya bilgisayar beklenmedik bir şekilde yeniden başlatıldığında, özel bir dosya oluşturulur. yanardağ hatırasıgenellikle isimle birlikte HAFIZA.DMP veya Minidump klasöründeki bir minidump dosyası. Bu dosya, çökme anında sistemin belleğinde neler olup bittiğini kaydeder ve ne olduğunu anlamanın en önemli ipucudur.

Bu dosyalardan hiçbirini daha önce açmamış ve sadece bahsi geçtiğini görmüş olabilirsiniz. Olay Görüntüleyici Ya da askıya alma veya hazırda bekletme modundan çıktıktan sonra gelen hata mesajlarında görülebilir, ancak gerçek şu ki, doğru kullanıldığında bellek dökümleri çok güçlü bir araçtır. Sorunlu sürücüleri, bellek bozulmalarını veya dosya sistemi arızalarını teşhis etmekAncak, bunları analiz etmek her zaman gerekli değildir ve herkesin bunları süresiz olarak saklaması gerekmez.

Memory.dmp dosyası (ve diğer Windows .dmp dosyaları) tam olarak nedir?

Windows sistemlerinde, uzantısı .sn olan dosyalar .DMP Bunlara arşiv denir. yanardağ hatırası o bellek dökümü / çekirdek dökümüBunlar, işletim sisteminin bir olay meydana geldiği anda RAM'in içeriğinin bir kısmını veya tamamını dışa aktardığı ikili günlük dosyalarıdır. kritik hataGenellikle bir hata denetimi veya mavi ekran hatasıdır.

En karakteristik dosya şudur: C:\Windows\MEMORY.DMPBu genellikle çekirdek bellek dökümlerine veya tam dökümlere karşılık gelir. Bunun yanı sıra, Windows klasörde çok daha küçük mini dökümler de oluşturabilir. %SystemRoot%\Minidumpisimleriyle MMDDYY-##.dmp (Örneğin, 022900-01.dmp), burada tarih ve sıra numarası kodlanmıştır.

Bu dosyalar, sistemin bir hatayla karşılaştığı anda oluşturulur. durdurma hatası (Durdurma hatası) veya arızadan sonraki ilk yeniden başlatma sırasında. Windows'un klasik sürümlerinde dökümü oluşturmaktan sorumlu işlem, sistem yardımcı programıdır. savedump.exeBu işlem, içeriği hata ayıklama araçları tarafından okunmak üzere tasarlanmış, Microsoft'a ait özel bir format kullanarak diske yazar.

Her ne kadar günlük dilde "döküm"den tek bir dosya türüymüş gibi bahsetsek de, gerçekte Windows çok farklı boyutlarda ve ayrıntı düzeylerinde çeşitli dökümler üretebilir ve bu da doğrudan etkiler. ne kadar disk alanı kapladıkları ve bunları analiz ederek ne kadar bilgi çıkarabileceğimizi.

Bellek dökümü dosyası hangi bilgileri içerir?

.dmp dosyasının içeriği, yapılandırılan döküm türüne bağlıdır, ancak en küçük olanı bile bir teknisyene sistem hakkında fikir vermek üzere tasarlanmış minimum bir veri kümesi içerir. Hataya hangi bileşen neden oldu?.

Bir küçük bellek dökümü dosyası (Küçük bellek dökümü veya minidump) en azından şu temel bilgileri saklar:

• Durdurma kodu (hata denetimi)Sistemin durmasına neden olan hatayla ilgili parametreler ve diğer veriler.
• Yüklenen sürücülerin listesi Arızanın meydana geldiği anda, bellek adresleriyle birlikte.
• İşlemci bağlamı (PRCB) Windows'un durmasına neden olan işlemci için.
• EPROCESS yapısı Hata oluştuğunda durdurulan işlemin çekirdek bağlamından alınan bilgilerle birlikte, o işlemin durumunu gösterir.
• ETHREAD yapısı Durdurulan alt sürecin, çekirdek bağlamıyla birlikte, ayrıntıları.
• Çekirdek modu çağrı yığını Mavi ekran hatasından hemen önce çalışan iş parçacığının.

Daha büyük bellek dökümlerinde (çekirdek, tam veya aktif), yukarıdakilerin tümüne ek olarak, çok daha büyük miktarda bellek de dahil edilir: çekirdek alanı, sürücü verileri, iç yapılar, aktif sayfalarvb. Yani, sistemin çökme anındaki durumunu yeterli doğrulukla yeniden oluşturmak için gerekli olan her şey.

Bu bilgiler her iki amaç için de kullanılabilir. günlük sorunları çözmek (uyumsuz sürücüler, disk hataları, bellek bozulması) ve daha gelişmiş alanlarda olduğu gibi, bilgisayar adli tıpıSistemin durduğu sırada RAM'de bulunan kötü amaçlı faaliyet izlerini veya kritik verileri aramak için döküm dosyası analiz edilir.

.dmp dosyaları nerede saklanır ve neden bu kadar çok yer kaplarlar?

Windows'un bir şeye ihtiyacı var. sayfalama dosyası Bellek dökümleri oluşturabilmek için önyükleme biriminde yer alması gerekir. Özellikle, küçük bir döküm (minidump) oluşturmak için, sayfalama dosyasının en azından şu kadar belleğe sahip olması yeterlidir. 2 MBBu, neredeyse her modern takımın fazlasıyla yerine getirdiği bir şeydir.

O mini döküm Bunlar klasörde saklanıyor. %SystemRoot%\MinidumpGenellikle şöyle bir şey C:\Windows\MinidumpWindows, eski dosyaları silmeden, tarih kodlu adlarla yeni dosyalar ekler. Bu, bir sorunun zaman içinde tekrar edip etmediğini görmek için çok yararlı olabilecek bir hata geçmişi tutar.

Daha büyük bellek dökümleri (çekirdek veya tam döküm), varsayılan olarak sistem kök dizininde bir dosyaya kaydedilir. %SystemRoot%\MEMORY.DMPBu noktada boyut hızla artabilir, çünkü tam dolu bir çöp yığını [miktar kadar] yer kaplayabilir. kurulu RAM miktarı kadar (veya yapılandırmaya bağlı olarak daha fazla) ve bir çekirdek dökümü yaklaşık olarak şu aralıkta olabilir: 150 MB ve 2 GB hatta daha da fazlası.

Bu nedenle, birçok ev kullanıcısının bilgisayarında bu dosyalar "yer kaplayan" dosyalar olarak kabul edilir ve periyodik olarak manuel olarak veya başka bir yöntemle silinir. Disk temizleme yardımcısı Windows'tan. Sistemde ciddi veya tekrarlayan sorunlar olmadığı sürece, bunları silmek genellikle sorun yaratmaz.

Windows'ta bellek dökümü türleri ve her birinin ne için kullanıldığı

Windows'un "Başlangıç ​​ve Kurtarma" seçenekleri içinde, açılır bir menü bulunur. “Hata ayıklama bilgilerini yaz” (Hata ayıklama bilgilerini yazın) Burada, sistem çöktüğünde oluşturulmasını istediğiniz döküm türünü seçebilirsiniz. Her türün farklı bir amacı ve boyut ve kullanışlılık açısından farklı bir etkisi vardır.

Genellikle karşınıza çıkacak seçenekler şunlardır:

• Hiçbiri: Bu işlem, bellek dökümü oluşturulmasını tamamen devre dışı bırakır. Sistemde yine de mavi ekran hataları görülebilir, ancak daha sonra analiz edebileceğiniz bir .dmp dosyası olmayacaktır.
• Küçük bellek dökümü (256 KB): Yaklaşık 256 KB'lık sabit bir boyutta, en küçük miktarda kullanışlı teşhis bilgisini depolar. Sınırlı disk alanınız varsa veya hafif bir şey tercih ediyorsanız idealdir.
• Çekirdek bellek dökümü: Yalnızca çekirdek modunda çalışan çekirdek ve sürücülerin belleğini depolar, kullanıcı işlem belleğini hariç tutar. Tam bir döküm kadar yer kaplamadan mini dökümden çok daha fazla bilgi sağlar.
• Otomatik bellek dökümü: Sayfalama dosyası yapılandırmasına bağlı olarak döküm türünü ve boyutunu otomatik olarak ayarlar ve ayrıntı ile disk kullanımı arasında bir denge kurar. Sayfalama izin verdiğinde genellikle tam bir döküm gibi davranır.
• Aktif bellek dökümü: Yalnızca arıza anında aktif olan belleği kaydeder ve aktif olmayan sayfaları atar. Tam bir bellek dökümüne benzer, ancak daha yönetilebilir ve daha hızlı bir çözüm sunmak üzere tasarlanmış nispeten yeni bir seçenektir.

Bir oluşturmak için tam bellek dökümü (Windows sürümüne bağlı olarak açılır menüde her zaman açıkça görünmeyebilir) önyükleme birimi sayfalama dosyasının boyutu, aşağıdaki boyuta eşdeğer olmalıdır: Takılı fiziksel RAM'e ek olarak 1 MB daha.Örneğin, 16 GB RAM ile sanal bellek dosyası yaklaşık 16 GB + 1 MB olmalıdır.

Sunucu ortamlarında (örneğin, Windows Server 2022Ayrıca, birçok gelişmiş masaüstü bilgisayarda da bu seçeneğin kullanılması sıklıkla önerilir. Çekirdek bellek dökümüÇünkü en ufak bir değişiklikte diski doldurmadan, çoğu sorun giderme senaryosu için yeterli düzeyde ayrıntı sunuyor.

Windows'ta (Server 2022 dahil) bellek dökümlerini nasıl yapılandırabilirsiniz?

Bellek dökümü yapılandırması Denetim Masası üzerinden yapılır ve işlem hem Windows'un istemci sürümlerinde hem de Windows Server'da oldukça benzerdir. Bir hesapla oturum açmak önemlidir. yönetici izinleri Bu parametreleri değiştirmek için.

Bu ayarı gözden geçirmek ve düzenlemek için genel adımlar şunlardır:

1. Açın kontrol Paneli Windows arama çubuğuna "Denetim Masası" yazın ve sonuçlardan uygulamayı seçin.
2. Kontrol Paneli içinde, ilgili bölüme girin. "Sistem" (Sistem).
3. Yan panelde veya sağda, üzerine tıklayın. “Gelişmiş sistem ayarları” (Gelişmiş Sistem Ayarları).
4. Açılan pencerede, ilgili sekmeye gidin. “Gelişmiş seçenekler” (Gelişmiş) ve bloğu arayın. “Başlangıç ​​ve iyileşme” (Başlatma ve Kurtarma).
5. Düğmeye basın "Yapılandırma..." (Ayarlar) bölümünden arıza davranışı seçeneklerine erişebilirsiniz.

Bu iletişim kutusunda, diğer şeylerin yanı sıra, işletim sistemleri listesinin başlangıçta birkaç saniye görüntülenip görüntülenmeyeceğini, bilgisayarın... otomatik olarak yeniden başlatılır Sistem hatası sonrasında ve bu konu için en önemlisi, ne tür hata ayıklama bilgilerinin yazıldığı.

"Hata ayıklama bilgilerini yaz" açılır listesinden, sizi en çok ilgilendiren seçeneği belirleyin: Küçük bellek dökümü (256 KB) değin Çekirdek bellek dökümü o Otomatik/Aktif bellek dökümüKullanım amacına bağlı olarak değişir. Daha gelişmiş teşhis işlemleri için genellikle şu seçeneği tercih etmek iyi bir fikirdir: Çekirdek bellek dökümüBu da detay ve boyut arasında makul bir denge sunuyor.

Hemen aşağıda, tanımlandığı alanı göreceksiniz. isim ve rota Ana döküm dosyasından. Varsayılan olarak genellikle böyledir. %SystemRoot%\MEMORY.DMPBu da normalde şuna eşittir: C:\Windows\MEMORY.DMPAyrıca, küçük bellek dökümlerinin kaydedileceği klasörü belirtmek için bir seçenek (veya bazı sürümlerde özel bir kutu) mevcuttur; bu sayede dizini değiştirebilirsiniz. %SystemRoot%\Minidump Dilerseniz başka bir güzergaha geçebilirsiniz.

Son olarak, karar vermeniz gereken kutular bulacaksınız. Mevcut tüm dosyaların üzerine yazar. Yeni bir tane oluşturulduğunda dökümün ne zaman alınacağı ve eğer bu otomatik döküm silme işlemini devre dışı bırakır Disk alanı sınırlı olduğunda. Bu seçeneklerin seçilmesi veya seçilmemesi, hata geçmişlerini korumaya mı yoksa depolama alanını korumaya mı öncelik verdiğinize bağlıdır.

DMP formatının teknik özellikleri ve detaylı içeriği

Windows tarafından kullanılan DMP dosya formatı bir formattır. Microsoft'un sahibi Resmi hata ayıklama araçlarıyla çalışmak üzere tasarlanmıştır. Bazı bilgileri yorumlayan üçüncü taraf programlar mevcut olsa da, en kapsamlı analiz genellikle şu şekilde yapılır: WinDbg veya Windows için Hata Ayıklama Araçları'nda bulunan diğer yardımcı programlar.

Genel olarak, Windows bellek dökümlerini üç ana kategoride ele alır:

• Mini döküm (minidump, 64/128 KB): Bu, şurada saklanıyor: %SystemRoot%\Minidump ve Durdurma hatasını, sorumlu iş parçacığının yığın izini, yüklenen sürücüleri ve temel işlem/iş parçacığı yapılarını belirlemek için gereken en temel bilgileri içerir.
• Çekirdek bellek dökümü: şurada saklanır HAFIZA.DMP Bu, denetleyicilere ait bellek ve Donanım Soyutlama Katmanı'na (HAL) ayrılan bellek de dahil olmak üzere tüm çekirdek belleğini yakalar. Serbest bellek veya kullanıcı işlem belleğini içermez.
• Tam/otomatik/aktif bellek dökümü: Tam bellek dökümleri sistemin fiziksel belleğinin (neredeyse) tamamını içerirken, aktif bellek dökümleri yalnızca şu anda kullanımda olan belleği korumaya çalışır. Her iki durumda da boyut çok büyük olabilir.

Daha açık ifadeyle, bir DMP dosyası diğer unsurların yanı sıra şunları içerebilir:

• Durdurma bildirimi (BugCheck) ve parametreleriEğer hata semboller kullanılarak çözülürse, hatanın açıklaması da verilir.
• Yüklenen modüllerin (sürücüler ve bileşenler) listesiAdres aralığı, durumu ve disk yolu da dahil olmak üzere.
• İşlemci bağlamı (PRCB) Durdurma işlemini tetikleyen işlemcinin, ilgili kayıt defterleri ve bayraklarıyla birlikte çıktısı.
• E-İŞLEM Bilgileri İlgili süreçlerin temel bağlamlarıyla birlikte.
• ETHREAD Bilgileri Durmaya neden olan alt sürecin.
• Çekirdek modu çağrı yığını Daha büyük veri dökümlerinde ise, gelişmiş analizler için potansiyel olarak faydalı olabilecek ek kullanıcı bilgileri, çekirdek içi yapılar ve bellek verileri bulunabilir.

İlk bakışta çok basit gibi görünse de, bu içeriğin büyük bir kısmı hata ayıklama komutları aracılığıyla "işlenmiş" bir biçimde sunulmaktadır; böylece analistin sonuç çıkarmak için ham bellek adreslerine körü körüne dalmasına gerek kalmaz.

Gerçek dünyadan bir hata ve DMP dökümü örneği: Sistemin kendi kendine yeniden başlatılması.

Çok sık karşılaşılan bir senaryo, kullanıcının bir programı yüklemesidir. yeni RAM modülleri veya donanım değişiklikleri (örneğin güç kaynağı veya A-RGB aydınlatma cihazları) yapılır ve buradan itibaren ekipman çalışmaya başlar. Görünür BSOD olmadan yeniden başlatmadaha sonra Olay Görüntüleyicisinde ilgili referansları gösterir. HAFIZA.DMP veya Minidump klasöründeki dosyalar.

Windows'un yerleşik bellek denetimi gibi araçlar mevcut olsa da, MemTest86İşlemci tanılama araçları (örneğin, Intel İşlemci Tanılama Aracı) görünürde hiçbir hata olmadığını gösterse bile, döküm dosyaları bazı sorunları ortaya çıkarabilir. sorunlu sürücüler, çekirdek yapısı bozulması veya NTFS dosya sistemi arızaları diğer testlerde fark edilmeyen şeyler.

Bir diğer tipik örnek ise, bir yerden devam ederken yaşanan başarısızlıklardır. askıya alma veya kış uykusu Dizüstü bilgisayarlar ve ultrabook'larda: sistem "Windows ciddi bir hatadan kurtuldu" gibi bir mesaj görüntüler ve daha detaylı incelemede şu referans bulunur: HAFIZA.DMP C:\Windows\Minidump klasöründe zaten küçük döküm dosyaları depolanıyordu. Bu dosyaları aşağıdaki gibi yardımcı programlarla analiz etmek... Kim Kaza YaptıAşağıdakilerle ilgili hataları görebilirsiniz. PAGE_FAULT_IN_NONPAGED_AREA, MEMORY_MANAGEMENT or KERNEL_SECURITY_CHECK_FAILUREBu durum genellikle bir sürücünün geçersiz belleğe başvurduğunu veya kritik bir yapının bozulduğunu gösterir.

Bu tür raporlarda, iddia edilen nedenin genellikle standart bir Microsoft modülü olduğu sıkça görülür; örneğin, ntoskrnl.exe, ntfs.sys veya fileinfo.sysAncak çoğu zaman gerçek suçlu şudur: başka bir üçüncü taraf denetleyici Bu durum daha önce belleğe zarar vermişti ve suç, daha sonra bu belleği "üzerine yazan" Windows bileşeninde yatıyor.

Bellek yönetimi hatalarının (MEMORY_MANAGEMENT) veya sayfalama dışı bellek erişim hatalarının (PAGE_FAULT_IN_NONPAGED_AREA) tekrar eden bir koleksiyonunu gösteren dökümler her zaman arızalı RAM'den kaynaklanmaz: çoğu zaman bunun nedeni şudur: sürücülerdeki hatalarKararsız sistem yapılandırmaları veya çekirdekle agresif bir şekilde etkileşime giren güvenlik ve filtreleme yazılımları.

Memory.dmp dosyasını analiz etmek ne zaman faydalıdır?

Her durumda bellek dökümü açıp incelemek için zaman harcamanız gerekmez. Birçok günlük bilgisayarda, tek seferlik bir arıza sonrasında sistem normal davranışına dönerse, bu dosyaları birer bellek dökümü olarak düşünebilirsiniz. “Tarihsel bilgi, ne olur ne olmaz diye” Daha sonra yer açmak için silebileceğiniz dosyaları kullanabilirsiniz.

Ancak, bu gibi durumlar ortaya çıktığında .dmp dosyalarını ciddiye almak ve analiz etmek tavsiye edilir:

• Açıklama yapılmadan rastgele yeniden başlatmalarÖzellikle yoğun kullanımda (oyunlar, yayın akışı, ağır görevler) veya uyku/hazırda bekletme modundan çıkıldığında.
• Tekrarlayan mavi ekranlar Benzer hata kodlarına sahip veya aynı sorun ailesine işaret eden (MEMORY_MANAGEMENT, KERNEL_SECURITY_CHECK_FAILURE, vb.) sorunlar.
• Donanım veya sürücü değişikliklerinden sonra ortaya çıkan arızalar (Yeni RAM, GPU, depolama denetleyicileri, güncellenmiş BIOS/UEFI) sorunların başlangıcıyla zamansal olarak örtüşen değişiklikler.
• Kritik ekipman veya sunucular Her düşmenin bir etkisi olduğu ve sorunun kaynağını gerekçelendirmeniz veya sorunun hafifletildiğini göstermeniz gereken bir durum.

Bu senaryolarda, dökümlerin analizi size ipuçları verebilir. Hangi spesifik bileşen istikrarsızlığa neden oluyor?Bu durum tamamen yazılımsal bir sorun (sürücüler, yapılandırma, kötü amaçlı yazılım) mı yoksa daha kapsamlı testler gerektiren altta yatan donanım sorunlarına dair belirtiler mi içeriyor, bunu belirlemek gerekiyor.

.dmp dosyalarını açma ve analiz etme araçları

Windows'ta bellek dökümleriyle çalışmak için, en "resmi" ve güçlü araçlardan, gelişmiş komutlarla uğraşmak istemeyen kullanıcılar için tasarlanmış daha basit yardımcı programlara kadar çeşitli araçlar mevcuttur.

Microsoft şunları sağlıyor: Bellek dökümü doğrulama yardımcı programı (Dumpchk.exe)Bu araç, bir döküm dosyasının doğru oluşturulup oluşturulmadığını doğrulamanıza ve içeriğinin bir kısmını okumanıza olanak tanır. Tam teşekküllü bir hata ayıklayıcı kadar güçlü olmasa da, hızlı bir bütünlük kontrolü görevi görür.

Daha detaylı analiz için Windows hata ayıklama araçları önerilir: Windows Hata Ayıklayıcı (WinDbg.exe) grafik arayüzü ile ve Çekirdek hata ayıklayıcı (KD.exe) Komut satırı için. Her ikisi de pakete dahildir. Windows için Hata Ayıklama AraçlarıTipik bir kurulum seçerek indirip kurabilirsiniz. Varsayılan olarak, şu gibi bir yola yüklenirler: C:\Program Files\Debugging Tools for Windows.

Ayrıca, üçüncü taraf hizmetler de mevcuttur, örneğin: Kim Kaza Yaptı İşin bir kısmını otomatikleştirenler şunlardır: Minidump klasöründeki .dmp dosyalarını okurlar, hata denetimi bilgilerini yorumlarlar ve size anlaşılabilir bir metin halinde, ilgili modülleri ve genel önerileri (sürücüleri güncelleme, donanımı kontrol etme vb.) belirten bir rapor sunarlar.

WinDbg veya KD ile bellek dökümü nasıl açılır?

Windows hata ayıklama araçlarını yükledikten sonra, WinDbg veya KD kullanarak komut satırından bellek dökümü açabilirsiniz. Her şeyden önce, iki şeyi hazır bulundurmanız faydalı olacaktır: sembollere giden yol Windows hata ayıklama ve sistem ikili dosyalarına giden yol (Örneğin, kurulum CD'sindeki I386 klasörünün içeriği veya disk üzerindeki eşdeğeri).

Veri dökümü yükleme işleminin temel prosedürü şu şekildedir:

1. Konsolu (cmd) açın. Başlat > Çalıştıryazma cmd ve Tamam'a basmak.
2. Araçların kurulu olduğu dizine geçin, örneğin:
   cd C:\Program Files\Debugging Tools for Windows
3. Ortamınıza uygun yolları seçerek aşağıdaki komutlardan birini çalıştırın:
   windbg -y SymbolPath -i ImagePath -z DumpFilePath
kd -y SymbolPath -i ImagePath -z DumpFilePath

Bu komutlarda parametreler şu anlama gelir:

Yer tutucu	Tanım
Sembol Yolu	Sembol dosyalarının indirildiği yerel yol veya sembol sunucu dizesi (örneğin, kullanarak) srv*C:\Symbols*https://msdl.microsoft.com/download/symbols), önbellek klasörü de dahil olmak üzere.
Görüntü Yolu	Sistem ikili dosyalarının yolu (örneğin, C:\Windows\I386 veya ilgili yürütülebilir dosyaların ve DLL'lerin bulunduğu klasör).
Döküm Dosyası Yolu	İncelemek istediğiniz bellek dökümü dosyasının tam yolu ve adı, örneğin: C:\Windows\Minidump\minidump.dmp o C:\Windows\MEMORY.DMP.

Pratik bir örnek olarak, kurulum CD'sinden I386 klasörünün içeriğini kopyaladıysanız... C:\Windows\I386Sembol dizininiz var. C:\Semboller ve dosyayı açmak istiyorsunuz. C:\Windows\Minidump\minidump.dmpŞu komutları kullanabilirsiniz:

kd -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z C:\Windows\Minidump\minidump.dmp

Ya da, hata ayıklayıcının grafik arayüzünü tercih ederseniz, şöyle bir şey:

windbg -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z C:\Windows\Minidump\minidump.dmp

Döküm dosyasını incelemek için temel komutlar

Döküm dosyası WinDbg veya KD'ye yüklendikten sonra, ayrıntılara boğulmadan en alakalı bilgileri çıkarmanıza olanak tanıyan birkaç klasik komut vardır. Bunların çoğu hata ayıklayıcının komut satırına girilir ve analizle birlikte metin çıktısı döndürür.

En faydalı olanlar arasında şunlar yer almaktadır:

• !analyze -show: Durdurma (hata denetimi) hata kodunu ve ana parametrelerini hızlıca görüntüler.
• !analyze -v: Bu, arızaya "muhtemelen neden olan" modülü, açıklayıcı zincirleri, olası nedenleri ve takip önerilerini belirten ayrıntılı bir analiz oluşturur.
• lm N T: Yüklenen modülleri, durumlarını, sürümlerini ve yollarını listeler. İlgili olabilecek üçüncü taraf sürücüleri bulmak için çok kullanışlıdır.

Hata ayıklama araçlarına ilişkin resmi dokümantasyon, aşağıdaki gibi bir yardım dosyasında erişilebilen eksiksiz bir komut referansı içermektedir: Debugger.chm kurulum klasörünün içinde (örneğin, C:\Program Files\Debugging Tools for Windows\Debugger.chmDaha detaylı bir analize ihtiyacınız varsa, orada gelişmiş komutlara daha derinlemesine bakabilirsiniz.

Genellikle benzer parametrelerle döküm dosyalarını analiz ediyorsanız, hatta bir tane bile oluşturabilirsiniz. toplu işlem dosyası Hata ayıklama araçları klasöründeki (örneğin, Dump.bat) dosyasına aşağıdaki gibi bir içerik ekleyin:

cd "C:\Program Files\Debugging Tools for Windows"
kd -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z %1

Bu sayede, bir döküm dosyasını incelemek istediğinizde, konsola sadece buna benzer bir şey yazmanız yeterli olacaktır: dump C:\Windows\Minidump\minidump.dmp Ve komut dosyası, KD'yi uygun parametrelerle çağırma işlemini halledecektir.

DMP dosya analizi çıktısına örnek

Bir hata dökümü analizinin nasıl göründüğüne dair bir fikir edinmek için, klasik bir örnek şu türdeki durdurma hatasıdır: 0xC0000218 (Kayıt Defteri Dosyası Hatası)Sistem, hasarlı, eksik veya yazılabilir olmayan bir kayıt defteri kovanını yükleyemediği durumlarda ortaya çıkar. Hata ayıklama araçları kullanılarak yapılan tipik bir analizde, şuna benzer bir şey görebilirsiniz:

BugCheck C0000218, {e144c418, 0, 0, 0}
Probably caused by : ntoskrnl.exe ( nt!ExRaiseHardError+13c )
ERROR_CODE: (NTSTATUS) 0xc0000218 - {Registry File Failure} The registry cannot load the hive (file): %hs or its log or alternate. It is corrupt, absent, or not writable.

Komut !analyze -v Bu verileri genişleterek çağrı yığınını (STACK_TEXT), ilgili fonksiyonları (örneğin, CmpLoadHiveThread, ExRaiseHardError) ve bir sonraki adımın sistemi makine sahibinin bakış açısından incelemek olduğunu belirten olası bir takip modülü (“Takip: Makine Sahibi”).

Bu bilgiyi doğrudan eyleme dönüştürmek her zaman kolay olmasa da, genellikle daha fazla araştırma için net ipuçları sağlar: kayıt onarımıDisk kontrolü, yedeklemeden geri yükleme, sürücü güncelleme, Windows'u yeniden yükleme veya aşırı durumlarda donanım kontrolü.

Sonuç olarak, memory.dmp dosyasının gerçek değeri, felaket anındaki sistemin ayrıntılı bir "anlık görüntüsü" olarak hizmet etmesinde yatmaktadır: eğer bir sorun yaşarsanız... Tekrarlanan çökmeler, bellek yönetimi hataları veya gizemli mavi ekranlarHata dökümlerini düzgün bir şekilde yapılandırmak, soruşturma süresince saklamak ve uygun araçlarla analiz etmek, karanlıkta el yordamıyla ilerlemek ile soruna neden olan bileşeni hızlıca bulmak arasında fark yaratabilir.