从完整内存转储中提取进程转储

Question

我遇到了一个错误，但我无法创建进程转储。我创建了一个full memory dump 的系统。如何使用它提取process dump？
Windows。

Answer 1

你不能。通常，属于您的进程的一些内存段可能会被分页，而不是驻留在物理内存中。这意味着使用完整的内核内存转储，您不能保证重建进程地址空间。

在许多情况下，您可以从内核转储中提取有关进程的有用信息。但是有两个限制：

1. 正如我已经提到的，内存可以被调出。
2. 许多 WinDbg 扩展不适用于内核转储。这包括 SOS，因此从内核空间调查托管进程要困难得多。