Чем открыть файл дампа памяти windows memory.dmp

Шаг 2 — Анализ дампов с помощью утилиты MinDumper

Рассказ об утилите вы найдете в этой статье .

1. Загрузите и установите Debugging Tools for Windows. Они входят в состав веб-установщика Windows SDK , где после запуска в нужно выбрать Debugging Tools в разделе Common Utilities.
2. Загрузите сценарий
   (kdfe.cmd), который написал Александр Суховей и опубликовал на ресурсе sysadmins.ru
   (поскольку живую ссылку мне там найти не удалось, предлагаю свою). Распакуйте архив в любую папку.Примечание
   . В случае нестандартного расположения папки Program Files вам может потребоваться указать в kdfe.cmd путь к папке, в которую установлены средства Debugging Tools for Windows. Используйте переменную dbgpath в строке 41.

Переустановка драйверов графического адаптера

Однако, как показывает практика, появление процесса Dumping physical memory to disk не всегда может быть связано именно с состоянием операционной системы. Часто виной появления BSoD становится графический адаптер, который при старте ОС активируется в самую первую очередь.

Если причина состоит не физической поломке, опять же, можно загрузиться через стартовое меню с выбором безопасного старта и полностью удалить драйверы видеокарты в «Диспетчере задач», который можно вызвать либо из стандартной «Панели управления», либо из раздела «Администрирование», либо через консоль «Выполнить», прописав в ней команду devmgmt.msc.

После удаления драйвера можно поступить двояко: установить новые драйверы сразу или произвести перезагрузку, при которой система инсталлирует их самостоятельно. Думается, лучше воспользоваться первым решением (особенно если есть «родной» диск с драйверами).

Но можно поступить еще проще, установив любую программу автоматического апдейта драйверов вроде Driver Booster. Только для этого необходимо загружать систему с тем же безопасным стартом, но уже с поддержкой сетевых драйверов (для обновления потребуется подключение к Интернету).

Если же и это эффекта не даст, и опять возникнет синий экран (Dumping physical memory to disk), возможно, дело в самом адаптере. В качестве одного из решений можно предложить просто переставить видеокарту в другой слот на материнской плате. Если и это не поможет, устройство придется заменить и попробовать произвести загрузку системы заново.

Примечание: если на материнской планет имеется интегрированная видеокарта, в настройках BIOS можно переключиться на нее. Если загрузка произойдет без проблем, причина сбоя станет очевидной.

Windows 10 создает только minidump файл

Термин eMMC — сокращение от «Embedded Multi-Media Controller» («Встроенный мультимедийный контроллер») и относится к пакету, состоящему из флэш-памяти и контроллера.

Если файл минидамп сохраняется в каталог %systemroot%\minidump, а не в стандартное расположение C:\windows\minidump. То эта проблема вызвана тем, что из-за управления питанием на устройствах SD eMMC, Windows всегда создает дамп и игнорирует параметры дампа памяти, настроенные администратором.

Чтобы переопределить сохранение по умолчанию, на устройстве должен быть настроен специальный параметр реестра.

Вы можете выполнить действия, описанные ниже, чтобы переопределить функцию энергосбережения Windows eMMC во время BugCheck (также известную как ошибка остановки или ошибка синего экрана), чтобы создать дамп памяти ядра или полный дамп памяти.

Прежде чем начать, поскольку это операция реестра, рекомендуется создать резервную копию реестра или создать точку восстановления системы на случай, если процедура завершится неудачно.

После того, как вы приняли необходимые меры предосторожности, вы можете действовать следующим образом:

1. Нажмите клавишу Windows + R. В диалоговом окне «Выполнить» введите «control system» и нажмите «Enter», открываем «Дополнительные параметры системы» > «Загрузка и восстановление». Для параметра «Запись отладочной информации» должно быть задано «Дамп памяти ядра» или «Полный дамп памяти».

Настройка minidump windows 10

2. Затем перейдите к запуску редактора реестра, чтобы создать и настроить следующий раздел реестра:ForceF0State: REG_DWORD: 0x1

Этот параметр реестра позволяет записать файл дампа.

Перейдите к пути реестра:HKLM\SYSTEM\CurrentControlSet\services\sdbus\Parameters\

• Затем щелкните правой кнопкой мыши в пустое место на правой панели
• Выберите «Создать» > «DWORD» (32-бита)
• С названием параметра ForceF0State
• Дважды щелкните только что созданный параметр и установите для данных значение 0x1
• Нажмите ОК.

создание параметра Dword в редакторе реестра
ForceF0State значение 0x1

3. Затем создайте и настройте следующий раздел реестра:

AlwaysKeepMemoryDump: REG_DWORD: 1Этот параметр реестра гарантирует, что файл дампа не будет удален при перезагрузке, даже если у вас мало свободного места на диске.

Перейдите к пути реестра:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl

• Затем щелкните правой кнопкой мыши пустое место на правой панели
• Выберите «Создать» > «DWORD» (32-бита)
• Назовите параметр AlwaysKeepMemoryDump
• Дважды щелкните на него и установите для параметра «Значение» 1.
• Нажмите ОК.

Параметр AlwaysKeepMemoryDump

4. Убедитесь, что максимальный размер файла подкачки больше, чем объем оперативной памяти, используемой на компьютере.

5. Перезагрузите устройство.

Стратегия торговли дамп и памп

В трейдинге под стратегией pump and dump подразумевают открытие шорт-позиций, когда наблюдается несоответствие на графике резко возросшей в цене акции. Владельцы активов накачивают стоимость акций вбросом ложной информации и распродают их по высокой цене, но когда интерес толпы снижается, стоимость резко падает до начального уровня или даже ниже.

Впервые стратегия была использована в 1990-х гг., когда брокерская фирма «Стреттон Окмонт» распространила ложную информацию о своих активах, чем стремительно увеличила их стоимость и распродала. В результате трейдеры, которые приобрели акции компании, понесли большие убытки.

Позже фирма была закрыта, а ее руководители переданы под суд за мошенничество. Распространение ложной бухгалтерской информации и искусственное повышение стоимости ценных бумаг является мошенничеством и преследуется законом. Поэтому применять ее для накачки собственных акций не рекомендуется.

Однако опытные трейдеры знают, как законным образом получить прибыль, используя стратегию памп и дамп. Они находят акции, которые только начинают накачиваться, и продают их, когда рост составит 30-60% от данной стоимости.

Для определения таких акций необходимо регулярно мониторить события, которые происходят в компании, следить за отчетами о ее финансовой деятельности.

Признаки

К основным признакам pump and dump относят:

• обилие рекламного материала и спам рассылок от тематических сервисов для трейдеров;
• резкое увеличение рекомендаций аналитиков о быстром приобретении акций и стремительном заработке;
• резкое увеличение стоимости активов без выхода подтверждающих новостей; 
• распространение слухов о положительных финансовых отчетах, предстоящих больших сделках, которые не подкреплены соответствующими документами;
• отсутствие открытых финансовых документов, плохие основные рейтинги и квартальные (годовые) отчеты, большие задолженности перед партнерами, банками, работниками;
• у предприятия нет активных продаж, часто фирма находится на грани банкротства;
• вбросы информации о больших инвестициях и ;
• дополнительная эмиссия ценных бумаг, которая не подкреплена основаниями.

Виды

В профессиональном трейдинге существует несколько разновидностей стратегии:

1. График, на котором наблюдаются уровни в левой части. Например, у активов компании на графике есть подъем цены до максимального уровня (хая) в предшествующем периоде. Трейдеры считают, что памп, у которого были максимумы, подходит для создания шорт-ордеров. Теперь главное правильно определить точку входа в торги.
2. Воздушный максимум. Стоимость активов стремительно увеличивается без обоснованных причин — в левой части графика в течение года не было взлетов. Например, цена условного актива поднимается с 2 до 35$ за 2 суток. При этом новостей, которые бы послужили фундаментом для скачка цены, не выпускалось.
3. Парабола. Модель отличается появлением в конце движения 3 вертикальных высоких свечей. Открытие четвертой происходит над максимальной ценой предшествующих суток дня, и, практически всегда, пробивает круглую сумму. Наличие 3 и появление четвертой свечи с разрывом является хорошим сигналом для возникновения точек входа при падении. 
4. Открытие с гепом. Лучшей моделью считается открытие рынка с ценой, которая возросла от цены закрытия в прошлые сутки дня не менее чем на 100%. При оценке стратегии важны проценты и стремительное увеличение торгового объема активов. Хорошим толчком к открытию шорт-ордеров считается открытие акции с гепом выше максимальной цены прошлых суток.

Анализ аварийного дампа отладчиком WinDbg

С помощью WinDbg из аварийного дампа можно вытащить более детальную информацию, включая расшифровку стека вызовов.

Установка Debugging Tools for Windows (WinDbg)

Microsoft распространяет WinDbg только в составе SDK, загрузить веб-установщик можно на странице загрузки центра разработки.

Для анализа аварийных дампов установка SDK не требуется. Скачать Debugging Tools for Windows (WinDbg) отдельным пакетом можно здесь или здесь.

Загружаем и устанавливаем WinDbg для вашей версии Windows. Версия для Windows 7 работает также в Windows XP и в Windows Vista.

Для Windows 10 требуется WinDbg версии 10.0.10586.567. Скачиваем Изолированный пакет SDK для Windows 10. Будет загружен веб-установщик. При установке, отключаем все компоненты, кроме отладчика.

После установки, корректируем ярлык для запуска WinDbg. В свойствах ярлыка, устанавливаем флажок запуска от имени администратора. Также, в качестве рабочей папки, задаем: %SystemRoot%Minidump.

Настройка отладочных символов

Отладочные символы содержат символические имена функций из исходного кода. Они необходимы для расшифровки и интерпретации аварийного дампа.

При первом запуске WinDbg, необходимо указать путь к отладочным символам, для этого открываем меню File, Symbol File Path, или используем комбинацию Ctrl+S.

Следующей строкой включаем загрузку отладочных символов из сети, задаем локальный путь для сохранения файлов и адрес для загрузки из интернета:

Если система не подключена к интернету, пакет для установки символов можно предварительно загрузить на странице загрузки пакетов символов Windows, центра разработки Microsoft.

Анализ аварийного дампа

В меню выбираем File, Open Crash Dump, или нажимаем Ctrl+D.

Указываем путь к дампу %SystemRoot%MEMORY.DMP или %SystemRoot%Minidumpфайл.dmp.

Загрузка отладочных символов из интернета может занять некоторое время.

Для получения детальной информации выполняем команду:

Дебаггер сам вам предложит ее выполнить, достаточно навести указатель мыши на ссылку и кликнуть.

В результате получаем следующий вывод:

Сведения для специалистов поддержки

Ряд фич MiniDumper реализован по просьбам моего коллеги по форуму Petya V4sechkin. Поэтому утилита очень удобна для техподдержки.

Возможности утилиты

MiniDumper работает в Windows 7 (с обновлениями) и более новых ОС. В состав программы входят Debugging Tools for Windows. Все команды, которые передаются отладочной утилите, формируются динамически в зависимости от кода ошибки и результатов предыдущих команд. Помимо !analyze -v MiniDumper:

• Анализирует как обычный стек, так и Raw-стек (командой dps) на предмет сторонних модулей. Raw-стек имеет меньшую достоверность, чем обычный стек, поскольку может содержать не относящиеся к сбою фрагменты предыдущих цепочек вызовов. Но во многих случаях он оказывается полезен (например, когда обычный стек неполон или повреждён).
• Выполняет особую обработку для кодов 0x7A, 0x77 и части 0xF4 (связаны с ошибками дисковой подсистемы), а также для 0x9F.
• Сохраняет журнал отладочных команд в папке с дампом, в том числе сведения о конфигурации (!sysinfo) и информацию о проблемных драйверах (lmvm).
• Выводит сводные результаты анализа по всем обработанным дампам в файл MiniDumper.log, который сохраняется в папке с утилитой (пример).

Отладочная информация

При анализе утилита скачивает отладочную информацию (debug symbols) в %temp%\MiniDumper. После закрытия утилиты папка удаляется автоматически.

Если вы регулярно анализируете дампы, можете задать расположение символов с помощью системных переменных среды:

_NT_SYMBOL_PATH=srv*D:\Symbols*https://msdl.microsoft.com/download/symbols
_NT_EXECUTABLE_IMAGE_PATH=srv*D:\Symbols*https://msdl.microsoft.com/download/symbols

Запуск из командной строки

В качестве параметров командной строки MiniDumper принимает путь к дампу или папке с дампами, а также ключ /S для тихого режима (указывается перед путем к папке).

Устранение неполадок при открытии файлов DMP

Общие проблемы с открытием файлов DMP

Microsoft Visual Studio не установлен

Дважды щелкнув по файлу DMP вы можете увидеть системное диалоговое окно, в котором сообщается «Не удается открыть этот тип файла». В этом случае обычно это связано с тем, что на вашем компьютере не установлено Microsoft Visual Studio для %%os%%. Так как ваша операционная система не знает, что делать с этим файлом, вы не сможете открыть его дважды щелкнув на него.

Совет: Если вам извстна другая программа, которая может открыть файл DMP, вы можете попробовать открыть данный файл, выбрав это приложение из списка возможных программ.

Установлена неправильная версия Microsoft Visual Studio

В некоторых случаях у вас может быть более новая (или более старая) версия файла Windows Memory Dump File, не поддерживаемая установленной версией приложения. При отсутствии правильной версии ПО Microsoft Visual Studio (или любой из других программ, перечисленных выше), может потребоваться загрузить другую версию ПО или одного из других прикладных программных средств, перечисленных выше. Такая проблема чаще всего возникает при работе в более старой версии прикладного программного средства с файлом, созданным в более новой версии, который старая версия не может распознать.

Совет: Иногда вы можете получить общее представление о версии файла DMP, щелкнув правой кнопкой мыши на файл, а затем выбрав «Свойства» (Windows) или «Получить информацию» (Mac OSX).

Резюме: В любом случае, большинство проблем, возникающих во время открытия файлов DMP, связаны с отсутствием на вашем компьютере установленного правильного прикладного программного средства.

Даже если на вашем компьютере уже установлено Microsoft Visual Studio или другое программное обеспечение, связанное с DMP, вы все равно можете столкнуться с проблемами во время открытия файлов Windows Memory Dump File. Если проблемы открытия файлов DMP до сих пор не устранены, возможно, причина кроется в других проблемах, не позволяющих открыть эти файлы. Такие проблемы включают (представлены в порядке от наиболее до наименее распространенных):

Как установить Microsoft Kernel Debugger

Скачиваем Microsoft Kernel Debugger, в итоге у вас будет маленький файл который позволит скачать из интернета все что вам нужно. Запускаем его.

Как установить Microsoft Kernel Debugger-01

присоединяться к программе по улучшению качества участвовать не будем

Как установить Microsoft Kernel Debugger-02

жмем Accept и соглашаемся с лицензией

Как установить Microsoft Kernel Debugger-соглашаемся с лицензией

Далее выбираем компонент и жмем install

Как установить Microsoft Kernel Debugger-04

начнется установка Microsoft Kernel Debugger

Как установить Microsoft Kernel Debugger-установка MKD

Видим, что Microsoft Kernel Debugger успешно установлен

Как установить Microsoft Kernel Debugger-06

После чего видим, что в пуске появилась папка Debugging Tools for Windows как для 32 так и для 64 битных систем.

Как установить Microsoft Kernel Debugger-07

Помимо самого пакета Debugging Tools for Windows, также понадобятся набор отладочных символов — Debugging Symbols. Набор отладочных символов специфичен для каждой ОС, на которой был зафиксирован BSoD. Потому придется загрузить набор символов для каждой ОС, анализировать работу которой Вам придется. Для 32-разрядной Windows XP потребуются набор символов для Windows XP 32-бит, для 64-разрядной ОС потребуются набор символов для Windows XP 64-бит. Для других ОС семейства Windows наборы символов подбираются сообразно такому же принципу. Загрузить отладочные символы можно . Устанавливать их рекомендуется по адресу %systemroot%\symbols хотя мне нравится устанавливать их в отдельные папки и не захламлять папку Windows.

Настройка сервера отладочных символов в WinDBG

Отладочные символы (debug-символы или symbol files) – это блоки данных, генерируемые в процессе компиляции программы совместно с исполняемым файлом. В таких блоках данных содержится информация о именах переменных, вызываемых функциях, библиотеках и т.д. Эти данные не нужны при выполнении программы, но полезные при ее отладке. Компоненты Microsoft компилируются с символами, распространяемыми через Microsoft Symbol Server.

Настройте WinDBG на использование Microsoft Symbol Server:

• Откройте WinDBG;
• Перейдите в меню File
  –> Symbol File Path;
  
• Пропишите строку, содержащую URL для загрузки символов отладки с сайта Microsoft и папку для сохранения кэша: SRV*E:\Sym_WinDBG*http://msdl.microsoft.com/download/symbols В примере кэш загружается в папку E:\Sym_WinDBG, можете указать любую.
• Не забывайте сохранить изменения в меню File
  –> Save WorkSpace;
  

WinDBG произведет поиск символов в локальной папке и, если не обнаружит в ней необходимых символов, то самостоятельно загрузит символы с указанного сайта. Если вы хотите добавить собственную папку с символами, то можно сделать это так:

SRV*E:\Sym_WinDBG*http://msdl.microsoft.com/download/symbols;c:\Symbols

Если подключение к интернету отсутствует, то загрузите предварительно пакет символов с ресурса Windows Symbol Packages .

Examine the dump file

There are several commands that you can use to gather information in the dump file, including the following commands:

• The command displays the Stop error code and its parameters. The Stop error code is also known as the bug check code.
• The command displays verbose output.
• The command lists the specified loaded modules. The output includes the status and the path of the module.

Note

The !drivers extension command displays a list of all drivers that are loaded on the destination computer, together with summary information about their memory use. The !drivers extension is obsolete in Windows XP and later. To display information about loaded drivers and other modules, use the command. The command displays information in a format that is similar to the old !drivers extension.

For help with other commands and for complete command syntax, see the debugging tools Help documentation. The debugging tools Help documentation can be found in the following location:

Note

If you have symbol-related issues, use the Symchk utility to verify that the correct symbols are loaded correctly. For more information about how to use Symchk, see Debugging with Symbols.

Simplify the commands by using a batch file

After you identify the command that you must have to load memory dumps, you can create a batch file to examine a dump file. For example, create a batch file and name it Dump.bat. Save it in the folder where the debugging tools are installed. Type the following text in the batch file:

When you want to examine a dump file, type the following command to pass the dump file path to the batch file:

Причины возникновения ошибки «dumping physical memory to disk»

Сразу же стоит отметить, что в подавляющем большинстве случаев данная ошибка является следствием реакции операционной системы на обнаружение аппаратных неполадок (или же иными словами — физической неисправности).

Поэтому для начала следует остановиться на решении основных аппаратных проблем.

«Оперативная память»

Довольно часто «Dumping physical memory to disk» возникает после физического вмешательства в компоненты компьютера (чистка пыли, апгрейд, замена термопасты) или после скачков напряжения и перегрева компонентов.

Соответственно, от этого и стоит отталкиваться в решении ошибки:

• Извлеките планки оперативной памяти и протрите медные контакты обычным канцелярским ластиком. Делать это нужно аккуратно и без фанатизма.
• По возможности замените слот для оперативной памяти, или просто поменяйте их местами.
• При наличии нескольких активных планок отключите одну из них и проверьте работоспособность системы.

«Видеокарта»

Если ошибка возникает при загрузке операционной системы, то вполне вероятно, что сбоит видеокарта.

Следовательно, необходимо осмотреть её (а также материнскую плату) на наличие явных физических неисправностей — вздутие, погорение, потёртости и т. п.

Если что-либо из перечисленного было вами выявлено в своём компьютере, то следует или заменить проблемные компоненты, или воспользоваться услугами сервисного центра и по возможности продлить им «жизнь».

Программные неполадки

Cразу же после столкновения с ошибкой «Dumping physical memory to disk» (как и с любой другой формой «BSOD») следует внимательно проанализировать отчёт по возникшей критической ошибке.

Для этого следует перейти в «С:\windows\minidump» (она же может именоваться «Memory.dmp»).

В данной папке будут находиться отчёты операционной системы, записанные непосредственно перед возникновением ошибки, что позволяет определить, какой процесс является виновником ее появления.

Однако самостоятельный анализ такого отчета принесёт положительный результат только при наличии у пользователя определённых технических познаний в работе операционной системы в целом.

Поэтому — при отсутствии таких навыков — можно загрузить отчёты (дампы) на любое файловое хранилище, предоставить открытый доступ (личной информации в отчёте нет) и создать соответствующую тему на любом тематическом техническом форуме.

А также можно попробовать воспользоваться общими рекомендациями, которые будут предоставлены ниже.

Дамп памяти Windows и Синий Экран Смерти

Итак, если компьютер внезапно перезагружается или зависает, а cиний экран смерти не появляется или появляется на долю секунды, то все равно информацию о причинах сбоя можно восстановить.

Дело в том, что операционная система в момент сбоя сохраняет содержимое оперативной памяти в так называемый дамп-файл (имеет расширение .dmp). В дальнейшем файл дампа можно будет проанализировать и получить туже самую информацию, что и на синем экране и даже чуть больше.

Но создание дампов может быть отключено в системе, поэтому стоит убедиться, что, во-первых, система создает дампы при сбоях, а, во-вторых, стоит узнать место на диске, куда они сохраняются.

Для этого нужно зайти в раздел Система.

В Windows 10 это можно сделать через поиск, а в предыдущих версиях операционной системы через Панель управления.

Далее переходим в Дополнительные параметры, а затем на вкладке Дополнительно переходим в Параметры раздела Загрузка и восстановление.

Здесь должна быть включена запись событий в системный журнал, ну а чтобы компьютер автоматически не перезагружался и отображал нам содержимое синего экрана смерти, нужно отменить автоматическую перезагрузку, если она была включена.

Также здесь отображается путь к дампам — мы видим, что дамп сохраняется в папку %SystemRoot% — это обозначение папки Windows.

Также здесь можно выбрать «малый дамп памяти», которого будет вполне достаточно для поиска кодов ошибки.

Итак, система вылетела в синий экран смерти, после чего был создан дамп памяти.

Для анализа дампов существуют специальные программы и одной из самых популярных является утилита BlueScreenView.

Программа очень проста в использовании и не требует установки — скачиваем с официального сайта и разархивируем. При этом с официального сайта можно скачать файл, с помощью которого можно русифицировать программу. Для этого данный файл нужно будет поместить в папку с разархивированной программой.

Если после запуска в программе не отображаются дампы, хотя система «срывалась» в синий экран смерти, то стоит зайти в настройки программы и убедиться, что путь к дампам памяти указан верно, то есть он должен быть таким же, как и в настройках системы.

После этого нужно обновить информацию в окне программы и все созданные в системе дампы отобразятся. Если дампов несколько, то, ориентируемся по дате сбоя. Выбираем нужный дамп, а затем появится подробная информация по нему.

Здесь выводится название ошибки, ее STOP-код с параметрами и если причиной стал драйвер, то в соответствующем поле мы обнаружим его название.

Также в нижней части окна программы розовым будут выделяться файлы, которые также могли стать причиной сбоя. Придется по порядку разбираться с каждым из них. Алгоритм здесь аналогичен рассмотренному в прошлой заметке — ищем решение в интернете, а в качестве поискового ключа используем название файла или код ошибки.

При этом не обязательно вручную вводить данные в поисковик. Если щелкнуть правой кнопкой мыши по строке дампа, то из контекстного меню можно выбрать пункт, который позволит найти в Гугле описание именно этой проблемы.

Можно выбрать поиск в Гугл по коду ошибки, по коду ошибки и названию драйвера или по коду ошибки и параметру.

Также с помощью этой утилиты можно быстро найти местоположение проблемного файла на диске.

Иногда бывает, что файл, вызвавший проблему, принадлежит какой-то программе или игре. По местоположению файла на диске можно быстро определить, к какой именно программе или игре он относится.

Ну и стоит знать, что чистильщики вроде Ccleaner удаляют дампы памяти, поэтому если вы пользуетесь подобными программами, то на время выявления причины появления синего экрана смерти, стоит воздержаться от их использования.

И последний вопрос, на который я отвечу в рамках этой заметки — что делать, если после появления синего экрана компьютер более не запускается? То есть компьютер зависает или постоянно перегружается, а значит нет возможности проанализировать дамп памяти.

Ответ логичен и прост — нужно создать загрузочную флешку, с помощью которой «вытянуть» файл дампа с жесткого диска и проанализировать его на другом компьютере. Для этого загружаемся с флешки и на жестком диске компьютера в папке Windows или в подпапке minidump находим файл дампа, который копируем на флешку. Затем на другом компьютере с помощью утилиты BlueScreenView анализируем дамп, как было рассказано в этой заметке.

Два способа как расшифровать малый дам памяти minidump

Первый способ
, заключается в использовании довольно популярной утилите BlueScreenView . Эта утилита может также стать хорошим вариантом для анализа дампа памяти. Применение этой утилиты как нельзя кстати пригодится, как способ чтобы определить проблемный драйвер.

Более того, она особенно примечательна тем, что с ее помощью возможен просмотр BSOD (синего экрана смерти) как бы в стоп-кадре, как это было, когда система крашилась. Она отображает время и дату сбоя, данные о драйвере или модуле с версией и кратким описанием. Кроме того, утилита доступна на множестве языков, включая русский. Так что утилита BlueScreenView как раз самое то, если нужно произвести быстрый анализ дампов памяти при BSOD.

Для второго способа
нужно установить Debugging Tools for Windows , а также загрузить утилиту bsdos_utility . Далее после распаковки скрипта bsdos_utility.cmd следует переместить его на диск C:\ (можно создать отдельную папку, но стоит помнить, что строка адреса запуска скрипта будет отличатся от нашего примера). Затем в командной строке следует написать:

C:\bsdos_utility.cmd

После выведения списка всех дампов из списка C:\Windows\Minidump\, после чего скрипт спросит какой именно дамп должен подвергнуться анализу. Выбрать нужный минидамп можно также самостоятельно при запуске скрипта:

Подобным образом возможно обнаружение массы ошибок Windows 10, из-за которых выпал BSOD, а также проблематичных программ.exe из-за которых случился синий экран.

На следующем шаге выбора компонент к установке (Select the features you want to install
) отмечаем только то, что нам нужно — Debugging tools for Windows
и нажимаем Install

В указанную на первом экране папку из Интернета будет загружен и установлен набор утилит.

После окончания установки находим в меню “Пуск” или на стартовом экране в группе ярлыков Windows Kits
утилиту WinDbg
и запускаем её с правами администратора

Если по какой-то причине ярлык найти не удалось, то можно запустить исполняемый файл из каталога установки — С:\Program Files (x86)\Windows Kits\8.1\Debuggers\x64\windbg.exe

В главном меню программы WinDbg
выбираем пункты File
> Symbol File Path
. В открывшееся окно вставляем строку определяющую пусть к локальному каталогу символьного кэша и его онлайн-источнику:

SRV*C:\Windows\symbol_cache*http://msdl.microsoft.com/download/symbols

Сохраняем настройки, выбрав в главном меню пункты File
> Save Workspace

Открываем файл дампа памяти, выбрав в меню File
> Open Crash Dump
…

Выбираем файл MEMORY.DMP
(по умолчанию расположен в каталоге C:\Windows
) и нажимаем Open

Появится информация о том, какой именно исполняемый модуль стал причиной остановки работы системы. Щёлкнув по гиперссылке !analyze-v

можно получить более развернутую информацию о состоянии системы на момент возникновения стоп-ошибки.

Туже самую информацию можно получить и с помощью командной строки используя примерно следующую последовательность команд:

cd /d «C:\Program Files (x86)\Windows Kits\8.1\Debuggers\x64\
»
kd -z «D:\DOWNLOADS\VM05\MEMORY.DMP
»
.logopen C:\Debuglog.txt

.sympath srv*C:\Windows\symbol_cache*http://msdl.microsoft.com/download/symbols

В этом примере вся информация о разборе дампа будет выгружена в читаемом виде в файл C:\Debuglog.txt

Источники информации:

Добрый день уважаемые коллеги и читатели блога сайт. Сегодня я хочу вам рассказать как производится анализ дампа памяти windows 10 Redstone. Делается это в большинстве случаев когда у вас выскакивает синий экран смерти с ошибкой, после чего ваш компьютер перезагружается. И данный анализ помогает понять причину сбоя.

Включить параметр реземых резлосов памятиEnable memory dump setting

Для выполнения этой процедуры необходимо войти в службу как администратор или член группы «Администраторы».You must be logged on as an administrator or a member of the Administrators group to complete this procedure. Если компьютер подключен к сети, параметры политики сети могут помешать вам выполнить эту процедуру.If your computer is connected to a network, network policy settings may prevent you from completing this procedure.

Чтобы включить параметр автоматизации памяти, выполните следующие действия:To enable memory dump setting, follow these steps:

1. На панели управления выберите «Система и > система безопасности».In Control Panel, select System and Security > System.

2. Выберите «Дополнительные параметры системы» и перейдите на вкладку «Дополнительно».Select Advanced system settings, and then select the Advanced tab.

3. В области запуска и восстановления выберите «Параметры».In the Startup and Recovery area, select Settings.

4. Убедитесь, что в разделе «Сведения отладки» выбран опасной памяти или завершенный помех памяти. Complete memory dumpMake sure that Kernel memory dump or Complete memory dump is selected under Writing Debugging Information.

5. Перезагрузите компьютер.Restart the computer.

Примечание

Путь к файлу dump можно изменить, отредактировав поле Dump.You can change the dump file path by edit the Dump file field. Другими словами, вы можете изменить путь с адреса %SystemRoot%\Memory.dmp, указывая на локальный диск, например E:\Memory.dmp.In other words, you can change the path from %SystemRoot%\Memory.dmp to point to a local drive that has enough disk space, such as E:\Memory.dmp.

Советы по генеральной сборке дампа памятиTips to generate memory dumps

При сбое компьютера сбоя компьютера в файл размещения, расположенном на его части, сохраняется в файле страницы, на котором установлена операционная система.When the computer crashes and restarts, the contents of physical RAM are written to the paging file that is located on the partition on which the operating system is installed.

В зависимости от скорости жесткого диска, на котором установлена Windows, память юридические (ГБ) памяти могут занимать много времени.Depending on the speed of the hard disk on which Windows is installed, dumping more than 2 gigabytes (GB) of memory may take a long time. Даже в случаях, если файл dump просматривается на другом жестком диске, существует значительное количество данных для чтения и записи на жесткие диски.Even in a best case scenario, if the dump file is configured to reside on another local hard drive, a significant amount of data will be read and written to the hard disks. Это может привести к недоступности продления сервера.This can cause a prolonged server outage.

Примечание

Используйте этот метод для генерации полных файлов потери памяти.Use this method to generate complete memory dump files with caution. Идеально, сделать это только в случае явного запроса технической поддержки Майкрософт.Ideally, you should do this only when you are explicitly requested to by the Microsoft Support engineer. После завершения всех стандартных способов устранения неполадок необходимо использовать последнюю сортировку, чтобы полностью сортировать их.Any kernel or complete memory dump file debugging should be the last resort after all standard troubleshooting methods have been completely exhausted.