Come leggere un file DMP
Ogni utente computer conosce quella sensazione frustrante quando si verifica un crash di sistema. I crash avvengono senza avviso e causano perdita di produttività, utenti esasperati e talvolta lavoro perso.
Un "dump" è un registro dello stato del computer al momento del crash. I file dump vengono generati automaticamente da Windows quando avviene un crash. Sono usati da sviluppatori e utenti avanzati per capire la causa del crash. DMP è l'estensione che Windows usa per i file dump.
Formato dati file DMP
Esistono tre tipi di memory dump generati da Windows. Il primo, e più grande, è il complete memory dump. Quando viene creato, l'intero contenuto della memoria viene scritto in un file DMP.
Il secondo, notevolmente più piccolo, è il kernel memory dump. Come suggerisce il nome, registra solo la memoria del kernel. La memoria non allocata e quella allocata ai programmi user-mode viene ignorata. Questo rende l'analisi più facile e meno dispendiosa rispetto al complete memory dump.
Il terzo tipo, più compatto, è il small memory dump, che genera un file DMP di soli 64 kilobyte. Include solo: messaggio Stop e parametri, elenco driver caricati, contesto processore (PRCB) per il processore fermo, informazioni processo e contesto kernel (EPROCESS), dati processo e contesto kernel (ETHREAD) per il thread fermo, e stack chiamate kernel-mode per il thread fermo.
Come individuare un file DMP
Per default, complete e kernel memory dump vengono scritti in %SystemRoot%\Memory.dmp. Windows salva solo uno di questi file alla volta. Quando avviene un nuovo crash, il file DMP esistente viene sovrascritto.
I file DMP generati da small memory dump vengono salvati nella directory %SystemRoot%\Minidump. A differenza degli altri tipi, i file small memory dump esistenti non vengono sovrascritti quando ne vengono generati di nuovi.
Windows include automaticamente la data nel nome dei file DMP small memory dump. Ad esempio, "mini043014-01.dmp" è stato creato il 30 aprile 2014. Il "-01" dopo la data indica che è il primo file DMP creato quel giorno.
Apertura e visualizzazione di un file DMP
Ci sono due principali applicazioni per aprire e visualizzare file DMP: Windows Debugging Tools e Dump Check Utility (Dumpchk). Windows Debugging Tools è la migliore opzione per esaminare complete e kernel memory dump, mentre Dumpchk è ideale per small memory dump. Entrambe si scaricano gratuitamente dal sito Microsoft. Poiché gli URL esatti possono cambiare, cerca i programmi per nome su https://www.microsoft.com e scarica dai link risultanti.
Per esaminare un file DMP con Windows Debugging Tools, apri un prompt dei comandi e vai alla cartella dove hai installato Windows Debugging Tools. Poi inserisci uno dei seguenti comandi per aprire il file:
windbg -y SymbolPath -i ImagePath -z DumpFilePath
kd -y SymbolPath -i ImagePath -z DumpFilePath
Il primo comando apre il file DMP nel debugger GUI di Windows, il secondo in un'interfaccia testuale. SymbolPath è la posizione dei simboli di debug sul disco. ImagePath è la posizione dei file immagine. DumpFilePath è la posizione del tuo file DMP.
Per aprire un file DMP in Dumpchk, digita nel prompt dei comandi:
dumpchk DumpFilePath
Analisi del contenuto di un file DMP
Windows Debugging Tools offre comandi utili per analizzare i file DMP. Il comando !analyze -show mostra il codice errore Stop e i suoi parametri. Utile per capire cosa ha causato direttamente il crash. Il comando !analyze -v mostra le stesse informazioni in output verboso. Il comando lm N T mostra l'elenco dei moduli caricati al momento del crash.
Rispetto a Windows Debugging Tools, Dumpchk è un'utilità semplice. Serve principalmente a verificare l'integrità dei dump file e a visualizzarli. Per testare un dump file per errori, usa l'estensione -e da riga di comando. Ad esempio:
dumpchk -e DumpFilePath
Altre opzioni Dumpchk includono -v (modalità verbosa), -p (solo header DMP), e -c (validazione rapida).