Проведите анализ дампа сбоя в WinDbg для личных байтов (кроме управляемой кучи)?

Question

Я хочу проанализировать полный файл дампа сбоя (* .dmp) и получить данные личных байтов. Я знаю, что VMMap SysInternals может рассказать мне, сколько моих личных байтов, кучи и т. Д. - все, кроме того, что мне нужно, - если у меня есть дамп, я должен разбираться и получать структуру и данные кучи (управляемой кучи) в куча. Я уже сделал это, читая PEB, а затем прогуливаясь по кучам.

То, что я не могу понять, это прочитать частные байты (кроме Heap, которые должны быть данными процесса для собственного кода). Может ли кто-нибудь указать мне в правильном направлении, чтобы я мог разобрать личные байты, кроме кучи, из дампа сбоя.

Спасибо.

Answer 1

адрес -summary

В первом разделе вы получите разбивку использования:

--- Usage Summary ---------------- RgnCount ----------- Total Size -------- %ofBusy %ofTotal 
Free         170   6f958000 ( 1.743 Gb)   87.18% 
<unknown>        477   6998000 (105.594 Mb) 40.21% 5.16% 
Stack         417   5d00000 ( 93.000 Mb) 35.42% 4.54% 
Image         253   3970000 ( 57.438 Mb) 21.87% 2.80% 
Heap          20   600000 ( 6.000 Mb) 2.28% 0.29% 
TEB          93    5d000 (372.000 kb) 0.14% 0.02% 
Other          9    32000 (200.000 kb) 0.07% 0.01% 
PEB          1    1000 ( 4.000 kb) 0.00% 0.00% 

Неизвестный бы виртуальные ALLOCS.

Чтобы вывести список неизвестных областей памяти, вы можете запустить:

адрес -f: VAR

УАК, как это определено в debugger.chm - Занято регионов!. Эти регионы включают в себя все блоки виртуального распределения, кучу SBH, память из пользовательских распределителей и все другие области адресного пространства, которые не попадают ни в какую другую классификацию.