Dump文件分析的常用命令

Dump文件分析的常用命令

1 .symfix可自动设置符号文件的路径指向微软的符号库。相当于：.sympath[+]srv*DownstreamStore*http://msdl.microsoft.com/download/symbols
2 .thread和.process命令来显示当前线程KTHREAD和进程EPROCESS的结构地址。使用！thread和！process能显示线程和进程更多的信息。

3 K 为栈回溯的命令

4 如果发现出现warning：Stack unwind information not available. Following frames may be wrong. 一般讲dump目录加到符号文件的路径中就可以了

5 lm能够列出所用的模块名

6 如果出现 unable to Load image XXX.XXX，可将File->Image File Path的路径设为该文件存在的路径。

7 当有异常发生时，系统会将当时的状态保存在一个KTRAP_FRAME结构中，称为陷阱帧。利用kv命令可以得到关于TrapFrame的信息显示为“TrapFrame @ f6869d64”, @后面的为TrapFrame的地址。利用.trap 加上地址可以还原异常发生时的状态。

8 !analyze命令进行自动分析，可以添加！analyze –v来显示详细的信息。对于dump文件可以首先利用!analyze进行自动分析，然后再利用上面的命令对自己感兴趣的部分进行详细的分析。