Vollständiges Speicherabbild unter Windows – Gehasst, verdammt, vergöttert
// September 22nd, 2010 // 2 Comments » // IT, Tutorials
Für das Debugging des Betriebssystems oder darauf laufender Anwendungen, kann es u.U. notwendig sein, ein vollständiges Speicherabbild erstellen zu lassen (bei Crash) oder selbst eines zu erstellen (beim Einfrieren der Anwendung / des OS).
Die Konfiguration für die Abbilder in Windows erreicht man über die Systemeigenschaften (Rechtsklick Arbeitsplatz / Computer > Eigenschaften oder über WIN+Pause). Unter dem Tab Erweitert > Starten und Wiederherstellen > Eigenschaften bekommen wir nun das Fenster angezeigt unter welchem man die Art der Debuginformationen einstellen kann.
Die drei möglichen Optionen
- Kleines Speicherabbild
Aufgrund der Größe des Speicherabbilds von 64K sind dort lediglich folgende Informationen enthalten:- Die Stop-Meldung, deren Parameter und weitere Daten
- Eine Liste der geladenen Treiber
- Den Prozessorkontext (PRCB) für den Prozessor, der angehalten wurde
- Die Prozessdaten und den Kernelkontext (EPROCESS) für den Prozess, der beendet wurde
- Die Prozessdaten und den Kernelkontext (ETHREAD) für den Thread, der beendet wurde
- Die Kernelmodus-Aufrufliste für den Thread, der beendet wurde
- Vollständiges Speicherabbild
Hier wird der komplette Inhalt des Arbeitsspeichers in das Abbild geschrieben. So kann der Dump, abhänging von der Größe physikalischen Speichers, mehrere Gigabyte groß werden. Hier sind sämtliche Informationen zur Speichernutzung, laufenden Prozessen, Treibern, etc. enthalten, die einem eine erweiterte Analyse ermöglichen. - Kernelspeicher-Abbild
Im Kernelspeicher-Abbild werden nur Informationen zum Kernel und des Hadware Abstraction Layer hinterlegt und ist damit deutlich kleiner als das vollständige Speicherabbild. Werden jedoch Informationen zu Programmen, etc. benötigt, ist dieses Abbild nicht ausreichend.
Standardoptionen für Abbildtypen
- Windows 2000 Professional: Kleines Speicherabbild (64 KB)
- Windows 2000 Server: Vollständiges Speicherabbild
- Windows 2000 Advanced Server: Vollständiges Speicherabbild
- Windows XP (Professional und Home Edition): Kleines Speicherabbild (64 KB)
- Windows Server 2003 (Alle Versionen): Vollständiges Speicherabbild
- Windows Server 2003: Kernelspeicher-Abbild





