要分析內(nèi)存。 dmp文件，請使用windbg與符號並運(yùn)行！分析-v以識別系統(tǒng)崩潰的根本原因。 1。通過Windows SDK或Microsoft Store安裝WINDBG。 2。在windbg中打開內(nèi)存.dmp文件。 3。設(shè)置符號路徑，使用.sympath並運(yùn)行.reload /f下載符號。 4。執(zhí)行！分析-v以獲取詳細(xì)的崩潰信息，並使用KB，！ thread，！ Process，lm和！池之類的命令以獲取更深的見解。 5。解釋常見的錯誤檢查，例如irql_not_less_or_equal或memory_management，並檢查輸出中的驅(qū)動程序故障。 6?？蛇x的是使用BluesCreenView或征服諸如bluescreenview的工具進(jìn)行更快的分析，但要依靠WINDBG來進(jìn)行準(zhǔn)確。確保啟用完整的內(nèi)存轉(zhuǎn)儲，比較多個轉(zhuǎn)儲，更新驅(qū)動程序和BIOS，並在需要解決重複問題的情況下運(yùn)行硬件測試。

在Windows中分析memory.dmp文件可以幫助識別系統(tǒng)崩潰的根本原因（例如BSOD），驅(qū)動程序問題或與內(nèi)存有關(guān)的問題。當(dāng)Windows遇到關(guān)鍵錯誤時，可以創(chuàng)建這些轉(zhuǎn)儲文件，並且可以使用調(diào)試工具進(jìn)行分析。這是正確執(zhí)行的方法。

1。設(shè)置調(diào)試環(huán)境

要分析memory.dmp ，您需要Windows調(diào)試器（WindBG） ，它是Windows SDK或Windows驅(qū)動程序套件（WDK）的一部分。

步驟：

• 下載windbg通過：
  • Windows SDK （包括調(diào)試工具）
  • 或從Microsoft Store安裝WINDBG預(yù)覽（對於初學(xué)者來說更簡單）
• 安裝並啟動WindBG（X64）作為管理員。

？提示：您還可以使用BluesCreenView （由Nirsoft）進(jìn)行快速概述，但這並不是深入分析的替代品。

2。加載內(nèi)存轉(zhuǎn)儲文件

一旦Windbg開放：

1. 轉(zhuǎn)到文件>開始調(diào)試>打開崩潰轉(zhuǎn)儲
2. 導(dǎo)航到您的memory.dmp文件（通常位於C:\Windows\memory.dmp中）
3. 打開它

該工具將加載文件並顯示初始輸出，包括崩潰類型（例如， BUGCHECK_CODE ）和可疑的故障模塊。

3。配置符號文件（關(guān)鍵步驟）

符號有助於將內(nèi)存地址轉(zhuǎn)換為可讀功能和模塊名稱。

在WindBG中，運(yùn)行此命令：

 .sympath Srv*c：\符號*https：//msdl.microsoft.com/download/symbols

然後重新加載符號：

 .reload /f

?這告訴windbg自動下載Microsoft符號，並在C:\Symbols中緩存它們。每個會話一次。

4。運(yùn)行基本分析命令

符號加載後，使用以下關(guān)鍵命令：

• ！分析-v
  最重要的命令。提供詳細(xì)的崩潰分析：錯誤檢查代碼，參數(shù)，可能的原因和堆棧跟蹤。

  示例輸出：

   BugCheck_Code：1a
  BugCheck_Description：Memory_Management
  process_name：系統(tǒng)
  trieling_bytes_search：搜索完成
  driver_verifier_detected_violation

• ！線程- 顯示當(dāng)前線程上下文

• KB - 顯示堆棧回溯

• ！進(jìn)程0 0 - 列出崩潰時間的所有進(jìn)程

• LM - 列出已加載的模塊（驅(qū)動程序）

• ！池- 檢查池內(nèi)存（對池?fù)p壞有用）

？關(guān)注來自!analyze -v Module_name ， image_name和stack_text部分，以識別有故障的驅(qū)動程序或系統(tǒng)組件。

---

5。解釋常見的崩潰模式

一些頻繁的發(fā)現(xiàn)：

• irql_not_less_or_equal →通常是在高IRQL處訪問分類內(nèi)存的驅(qū)動程序
• page_fault_in_nonpaged_area →無效的內(nèi)存訪問，通常是壞驅(qū)動程序或硬件
• driver_verifier_detected_violation →驅(qū)動程序違反規(guī)則（通常是故意捕獲錯誤）
• MONEME_MANAGEMATION（0x1a） →可能是故障的RAM，驅(qū)動程序或頁表損壞

如果第三方驅(qū)動程序（例如， nvlddmkm.sys for nvidia， rt640x64.sys for Realtek）涉及：

• 更新或重新安裝驅(qū)動程序
• 檢查固件或BIOS更新
• 運(yùn)行硬件診斷（尤其是帶有mdsched.exe的RAM）

---

6。使用其他工具（可選）

• BluesCreenView（Nirsoft） - 多個轉(zhuǎn)儲文件的圖形視圖，突出顯示了有故障的驅(qū)動程序。
• 自動化的工具，可以自動使用轉(zhuǎn)儲分析（對非專家）。
• OSR在線驅(qū)動程序加載程序- 幫助驗證可疑駕駛員是簽署還是已知。

??對第三方工具保持謹(jǐn)慎 - 它們可能無法提供WindBG之類的完整背景。

---

最終提示

• 確保已啟用完整的內(nèi)存轉(zhuǎn)儲（通過系統(tǒng)屬性>高級>啟動和恢復(fù)）。默認(rèn)情況下，Windows可能只會生成小轉(zhuǎn)儲。
• 多個轉(zhuǎn)儲？比較它們。如果相同的駕駛員不斷出現(xiàn)，則可能是罪魁禍?zhǔn)住?/li>
• 保持系統(tǒng)的更新 - 許多崩潰是用新的驅(qū)動程序或操作系統(tǒng)版本修復(fù)的。

---

基本上，將windbg與符號使用，並信任!analyze -v輸出。這不是瞬間，而是找到真正導(dǎo)致崩潰的最準(zhǔn)確方法。

以上是如何分析Windows中的內(nèi)存.dmp文件的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！