做新房网站怎么弄,上海信息价查询造价信息网,今天最近的新闻,深圳网站建设简介前言 我们在内核转储#xff0c;开抓啦#xff01;这篇文章里介绍了一个关键的系统设置。设置好后可以让系统在蓝屏#xff08;Blue Screen of Death#xff0c;简称 BSOD#xff09;的时候自动保存转储文件。当时只是简单的介绍了设置步骤#xff0c;本文力求详细的介绍… 前言 我们在内核转储开抓啦这篇文章里介绍了一个关键的系统设置。设置好后可以让系统在蓝屏Blue Screen of Death简称 BSOD的时候自动保存转储文件。当时只是简单的介绍了设置步骤本文力求详细的介绍相关内容。我们先根据下面的动图回顾一下设置步骤系统转储设置不知道大家有没有想过这些设置保存在哪里了呢我猜保存在注册表里。是不是呢我们一起来看看吧。保存位置 为了找到这些设置保存的位置我特意用 process monitor 捕获了整个设置过程并录制了一段视频。转储设置保存位置调查根据调查结果可知转储类型 保存在注册表如下位置HKLM\System\CurrentControlSet\Control\CrashControl\CrashDumpEnabled 。每一项对应的值如下表中文名英文名值无(None)0小内存转储256KBSmall memory dump3核心内存转储Kernel memory dump2完全内存转储Complete memory dump1自动内存转储Automatic memory dump7活动内存转储Active memory dump1我们可以发现 完全内存转储 和 活动内存转储 设置的 CrashDumpEnabled 的值居然一样都是 1。肯定有其它地方不一样。把过滤条件改为 Path begins with HKLM\System\CurrentControlSet\Control\CrashControl更改过滤条件继续观察得到的对比结果如下。结果对比经过对比我们发现当设置为 活动内存转储 时会设置注册表项HKLM\System\CurrentControlSet\Control\CrashControl\FilterPages 的值为 1当设置为 完全内存转储 时会删除 FilterPages 子项。说明win7 及更早的系统中没有 自动内存转储 和 活动内存转储 选项。自动内存转储 是从 win8 开始引入的。活动内存转储 是从 win10 开始引入的。win7 系统转储设置其它相关设置 除了指定转储类型我们还可以进行其它设置。转储文件 指定转储文件保存的位置。对于小内存转储指定的是转储文件保存的目录默认是 %SystemRoot%\Minidump\。对于其它几种转储类型指定的是转储文件的保存路径默认是 %SystemRoot%\MEMORY.DMP。自动重新启动R 选项如果勾选可以让系统在蓝屏后自动重启。将事件写入系统日志W 选项如果勾选可以把蓝屏事件记录到系统日志里。覆盖任何现有文件O 选项如果勾选覆盖已存在的同名文件否则不覆盖如果已经有同名文件本次蓝屏的转储文件不会生成。此选项对小内存转储不生效。禁止在磁盘空间不足时自动删除内存转储A 选项如果勾选即使在磁盘空间不足时也不删除之前保存的转储文件。此选项在 win7 中不存在是在更高版本的操作系统中引入的。每一项在注册表中的对应位置请参考如下代码。保存为 .reg 文件双击即可导入。Windows Registry Editor Version 5.00; 将事件写入系统日志。1 表示写入0 表示不写入
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
LogEventdword:00000000; 是否自动重启。1 表示自动重启0 表示不自动重启
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
AutoRebootdword:00000000; 转储类型。每个值的意义参考上表
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
CrashDumpEnableddword:00000001; 转储文件的保存路径。以二进制形式表示的 UNICODE 路径。默认值是 %SystemRoot%\MEMORY.DMP
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
DumpFilehex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\74,00,25,00,5c,00,4d,00,45,00,4d,00,4f,00,52,00,59,00,2e,00,44,00,4d,00,50,\00,00,00; 小内存转储文件保存路径。以二进制形式表示的 UNICODE 路径。默认值是 %SystemRoot%\MEMORY.DMP
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
MinidumpDirhex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\00,74,00,25,00,5c,00,4d,00,69,00,6e,00,69,00,64,00,75,00,6d,00,70,00,00,00; 小内存转储文件保存的最大个数。如果转储文件数量超过此值则删除最旧的那个。
; 界面上没有对应的设置只能通过注册表修改。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
MinidumpsCountdword:00000005; 覆盖任何现有文件。1 表示覆盖0 表示不覆盖。对小内存转储不生效。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
Overwritedword:00000001; 禁止在磁盘空间不足时自动删除内存转储。1 表示不删除0 表示删除
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
AlwaysKeepMemoryDumpdword:00000000
各种转储类型介绍 关于这几种转储类型的介绍主要翻译自微软官方文档但不完全是。喜欢看英文文档的小伙伴儿请参考微软官方文档。完全内存转储包含操作系统使用的所有物理内存。默认不包含平台固件占用的物理内存。为了确保转储文件可以顺利生成请确保引导盘上的页面文件大小至少是物理内存大小 1 MB写转储文件时需要一些头信息。假设物理内存是 4GB我们需要保证初始大小至少是 4097MB。当然设置成更大的值也没关系。我们可以按下图进行设置手动设置分页文件大小活动内存转储活动内存转储 类似于 完整内存转储但是会过滤掉不太可能与排除故障相关的页面。由于这种过滤产生的转储文件通常比 完整内存转储 小得多。这种类型的转储文件包含分配给用户模式应用程序的任何内存。它还包括分配给 Windows 内核和硬件抽象层HAL的内存以及分配给内核模式驱动程序和其他内核模式程序的内存。转储文件包括映射到内核或用户空间的对调试有用的活动页面还包括选择的以分页文件为后备的转换、备用和修改页面比如使用 VirtualAlloc 或以分页文件为后备的内存区域。活动内存转储 不包括空闲列表、零列表、文件缓存、客户虚拟机页面和其他各种类型的不太可能对调试有用的内存。当目标系统中托管了虚拟机的时候活动内存转储 特别有用。完全内存转储会包含所有虚拟机占用的内存而活动内存转储 不会。活动内存转储 在 Windows 10 或更高版本的系统中可用。核心内存转储包含了系统崩溃时内核所使用的物理内存。这种转储文件比完整内存转储小得多。核心内存转储 不包括未分配的内存或分配给用户态应用程序的任何内存。它只包括分配给 Windows 内核和硬件抽象层HAL的内存以及分配给内核模式驱动程序和其他内核模式程序的内存。大多数情况下这种类型的崩溃转储是最有用的。它比完全内存转储小得多但是它只忽略了那些不太可能涉及崩溃的内存部分。由于这种转储文件不包含崩溃时驻留在内存中的任何用户模式可执行文件的映像所以如果这些可执行文件非常重要您可能还需要设置可执行映像路径。自动内存转储自动内存转储 与 内核内存转储 包含相同的信息。两者的区别不在于转储文件本身而在于 Windows 设置系统分页文件大小的方式。如果系统分页文件大小设置为 系统管理的大小Y转储类型设置为 自动内存转储那么 Windows 可以将分页文件大小设置的比物理内存还要小。在这种情况下Windows 将分页文件的大小设置得足够大以确保在大多数情况下可以捕获内核内存转储。如果系统崩溃而分页文件的大小不足以保存内核内存转储则 Windows 会将分页文件的尺寸增加到至少物理内存的大小。此事件增大分页文件尺寸的事件发生的时间会被记录在注册表项HKLM\SYSTEM\CurrentControlSet\Control\CrashControl\LastCrashTime 中。增加后的分页文件大小将保持 4 周然后恢复到之前较小的值。如果希望在 4 周之前就恢复到之前较小的值可以删除此注册表项。自动内存转储在 Windows 8 或更高版本的系统中可用。小内存转储256KB小内存转储包含如下内容错误检查信息和参数以及其它蓝屏数据。崩溃的处理器上下文PRCB。崩溃进程的进程信息和内核上下文EPROCESS。崩溃线程的线程信息和内核上下文ETHREAD。崩溃线程的内核模式调用堆栈。如果它大于 16 KB则只包含最前面的 16 KB。加载的驱动程序列表。在 Windows XP 和 Windows 的后续版本中还包括以下内容已加载模块和已卸载模块的列表。调试器数据块。它包含关于系统的基本调试信息。Windows 标识为对调试失败有用的任何附加内存页。这包括发生崩溃时寄存器所指向的内存页以及故障组件特别请求的其他内存页。Windows Server 2003 及更高版本The Windows SKU —— 比如Professional 或者 Server。关于 Windows SKU 可以参考链接 https://www.thewindowsclub.com/windows-7-versions-sku总结 小内存转储256KB 默认会保存到 %SystemRoot%\Minidump 文件夹下其它几种类型的转储文件默认保存到 %SystemRoot%\Memory.dmp。各种转储类型产生的转储文件中包含的信息不一样根据自己的需要选择。产生的转储文件大小排序如下完全内存转储 活动内存转储 核心内存转储 自动内存转储 小内存转储。系统蓝屏后是否自动重启是否保存转储文件是否覆盖现有文件转储文件保存类型转储文件保存位置等相关设置都在注册表项 HKLM\System\CurrentControlSet\Control\CrashControl\ 下可以根据需要修改本文中的代码并另存为 .reg 文件双击导入系统即可。注意需要重启生效。如果在调试的时候遇到了 missing page 错误可以使用 .ignore_missing_pages 命令。在 process monitor 的帮助下没查看任何帮助文档就把各个类型的转储文件对应的值及保存位置调查清楚了process monitor 真是调查此类问题的神兵利器你值得拥有参考资料 https://channel9.msdn.com/Shows/Defrag-Tools/Defrag-Tools-179-Manually-Forcing-a-Crash-Dumphttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/varieties-of-kernel-mode-dump-fileshttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/complete-memory-dumphttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/active-memory-dumphttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/kernel-memory-dumphttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/automatic-memory-dumphttps://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/small-memory-dump猜你喜欢转储文件系列转储文件知多少你需要知道的 N 种抓取 dump 的工具你生成的转储文件有问题吗向大厂看齐为自己的程序增加自动转储的功能内核转储开抓啦调试系列调试实战——你知道怎么使用DebugView查看调试信息吗调试实战——程序CPU占用率飙升你知道如何快速定位吗调试实战——崩溃在ComFriendlyWaitMtaThreadProc调试实战——使用windbg调试崩溃在ole32!CStdMarshal::DisconnectSrvIPIDs调试实战——调试PInvoke导致的内存破坏调试实战——调试excel启动时死锁调试实战——调试DLL卸载时的死锁调试实战——调试TerminateThread导致的死锁排错系列排错实战——VS清空最近打开的工程记录排错实战——拯救加载调试符号失败的IDA排错实战——你知道拖动窗口时只显示虚框怎么设置吗排错实战——解决Tekla通过.tsep安装插件失败的问题排错实战——使用process explorer替换任务管理器排错实战——通过对比分析sysinternals事件修复程序功能异常
