小草博客

A-A+

三个步骤定位Windows的崩溃进程

2016年01月05日 站长资讯 暂无评论

在Windows平台上，我们通常会采用MiniDumpWriteDump来进行堆栈转储，而这需要对系统Api有一定的了解和编写一些代码。本文就结合实际项目经验，总结了一种无需编码即可记录进程崩溃堆栈的方法。

原理简介:使用nstd工具进行进程崩溃时内存和堆栈转储。

编译Release版本时打开调试选项，将exe和pdb文件一起发布。

2.使用批处理命令设置Windows系统在进程崩溃时调用的调试器为ntsd

@reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug" /v "Auto" /t REG_SZ /d "1" /f

该批处理指令，设置AeDebug调用前是否需要弹消息框确认？默认为0，设置1表示自动处理不弹确认框。如果大家安装过Visual Studio，可能都遇到过下列弹框：

这就是VS设置了AeDebug调试器后，遇到进程崩溃，然后弹框确认是否要附加到该进程进行调试的过程。然后设置ntsd的调试转储指令：

  1. @reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug" /v "Debugger" /t REG_SZ /d "D:\Dump\ntsd.exe -p %%ld -e %%ld -g -c \".dump /ma /u D:\Dump\dump.dmp; .logopen /t D:\Dump\dump.txt; .time; .echo Process Status:; ^|; .echo Thread Status:; ^~; .echo Stack Status:; kpn; .logclose; q\"" /f  

我把的ntsd程序拷贝到d:\dump目录。

-p %%ld 传入进程ID，-c 执行dump指令：echo 打印线程信息，线程堆栈，最后再退出。

批处理安装脚本和ntsd程序我都已经打好包了，可以到这里下载。

3.下面通过一个实例来演示下效果：

  1. #include <stdio.h>  
  2.   
  3.    
  4. void test2()  
  5. {  
  6.      int a = 1;  
  7.      int b = 0;  
  8.      int c = a/b;      
  9. }  
  10.   
  11.    
  12. void test1()  
  13. {  
  14.     test2();  
  15. }  
  16.   
  17.    
  18. int main(int argc, char** argv)  
  19. {  
  20.     test1();  
  21.   
  22.    
  23.     return 0;  
  24. }  

我们通过除0错误来构造一次崩溃，test1和test2是为了演示调用堆栈。

通过codego.net上的方法抓取的堆栈文本如下：

  1. Opened log file 'D:\Dump\dump_22d4_2014-09-30_15-15-33-062.txt'  
  2. Debug session time: Tue Sep 30 15:15:33.063 2014 (GMT+8)  
  3. System Uptime: 2 days 3:35:54.545  
  4. Process Uptime: 0 days 0:00:00.923  
  5.   Kernel time: 0 days 0:00:00.015  
  6.   User time: 0 days 0:00:00.000  
  7. Process Status:  
  8. .  0 id: 3854 attach name: D:\xcb\20140808\test\CoreDump\DumpExampleNormalStack.exe  
  9. Thread Status:  
  10. .  0  Id: 3854.3138 Suspend: 1 Teb: 7ffdf000 Unfrozen  
  11. Stack Status:  
  12. *** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\Windows\SYSTEM32\ntdll.dll -   
  13.  # ChildEBP RetAddr    
  14. 002dfb2c 01321038 DumpExampleNormalStack!test2(void)+0x18  
  15. 002dfb34 01321048 DumpExampleNormalStack!test1(void)+0x8  
  16. 002dfb3c 01321159 DumpExampleNormalStack!main(int argc = 1, char ** argv = 0x003ea488)+0x8  
  17. *** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\Windows\system32\kernel32.dll -   
  18. 002dfb84 76e2ee1c DumpExampleNormalStack!__tmainCRTStartup(void)+0xfe  
  19. WARNING: Stack unwind information not available. Following frames may be wrong.  
  20. 002dfb90 77ba37eb kernel32!BaseThreadInitThunk+0x12  
  21. 002dfbd0 77ba37be ntdll!RtlInitializeExceptionChain+0xef  
  22. 002dfbe8 00000000 ntdll!RtlInitializeExceptionChain+0xc2  
  23. Closing open log file D:\Dump\dump_22d4_2014-09-30_15-15-33-062.txt  

在Release版本中需要把调试选项打开，而且生成的pdb文件和exe要放在同一目录下。

标签：

给我留言