解析 WinDbg 中的故障转储以获取私有字节（托管堆除外）？

Question

我想解析完整的故障转储 (*.dmp) 文件并获取私有字节数据。我知道 SysInternals 的 VMMap 可以告诉我我的私有字节、堆等有多少，但我需要的是，如果我有转储，我应该能够解析它并获取堆（托管堆）结构和数据堆。我已经通过阅读 PEB 然后遍历堆来完成此操作。

我无法弄清楚如何读取私有字节（堆除外，它应该是本机代码的过程数据）。谁能指出我正确的方向，以便我能够解析崩溃转储中除堆之外的私有字节。

谢谢。

Answer 1

!address -summary

在第一部分中，您将获得使用情况的细分：

--- Usage Summary ---------------- RgnCount ----------- Total Size -------- %ofBusy %ofTotal
Free                                    170          6f958000 (   1.743 Gb)           87.18%
<unknown>                               477           6998000 ( 105.594 Mb)  40.21%    5.16%
Stack                                   417           5d00000 (  93.000 Mb)  35.42%    4.54%
Image                                   253           3970000 (  57.438 Mb)  21.87%    2.80%
Heap                                     20            600000 (   6.000 Mb)   2.28%    0.29%
TEB                                      93             5d000 ( 372.000 kb)   0.14%    0.02%
Other                                     9             32000 ( 200.000 kb)   0.07%    0.01%
PEB                                       1              1000 (   4.000 kb)   0.00%    0.00%

未知是虚拟分配。

要列出未知的内存区域，您可以运行：

!address -f:VAR

VAR as returned in the debugger.chm - Busyregions。这些区域包括所有虚拟分配块、SBH 堆、来自自定义分配器的内存以及不属于其他分类的地址空间的所有其他区域。