如何使用分析蓝屏
蓝屏分析2篇
蓝屏分析2篇第一篇：蓝屏分析入门指南蓝屏错误是指当 Windows 操作系统遇到不可恢复的系统错误时，将会在显示屏上显示一个蓝色的错误屏幕。
蓝屏错误通常是由于硬件故障、驱动程序错误、系统文件损坏等原因引起的。
当我们遇到这种错误时，首先需要做的就是排除硬件故障。
如果仍然无法解决，我们需要进行蓝屏分析来找到根本问题。
一、启动自启动修复当 Windows 系统无法正常启动时，我们可以尝试使用系统自带的自启动修复工具来修复问题。
使用方法如下：1. 关闭计算机并重新启动计算机。
2. 当电脑开机时，按住 F8 键进入高级启动选项菜单。
3. 选择“自启动修复”并按下回车键。
4. 等待修复工具完成修复。
二、分析蓝屏错误代码当 Windows 系统遇到蓝屏错误时，会在屏幕上显示错误代码。
这些错误代码可以帮助我们了解造成蓝屏错误的原因。
以下是常见的蓝屏错误代码及其意义：1. 0x0000001E：由于内存错误或驱动程序错误而导致的蓝屏错误。
2. 0x0000003B：由于系统文件损坏或驱动程序错误而导致的蓝屏错误。
3. 0x0000007B：由于硬盘损坏或驱动程序错误而导致的蓝屏错误。
根据蓝屏错误代码，我们可以大致了解问题所在，并进一步分析该错误。
三、分析故障驱动程序驱动程序错误通常是导致蓝屏错误的最常见原因之一。
我们可以使用 Windows 的故障排除器来分析驱动程序错误。
使用方法如下：1. 按下 Windows 键 + R 键进入运行对话框。
2. 键入“Verifier”并按下回车键。
3. 在 Verify Driver 窗口中选择“Create Custom Settings”并按下回车键。
4. 在“Which Driver Should Be Ve rified？”中选择“Select Driver Names From A List”。
5. 选择故障的驱动程序并按下回车键。
6. 重启计算机并等待蓝屏错误发生。
电脑蓝屏错误代码解析与修复方法
电脑蓝屏错误代码解析与修复方法电脑蓝屏错误代码是很多电脑用户都曾经遇到过的问题。
当我们使用电脑时，突然出现蓝屏，显示一串看似无意义的代码，让人感到困惑和无助。
本文将对电脑蓝屏错误代码进行解析，并提供一些常见的修复方法，帮助读者更好地应对这个问题。
首先，我们需要了解蓝屏错误代码的含义。
每个蓝屏错误代码都代表着一种特定的错误类型，它们可以帮助我们找到问题的根源。
常见的蓝屏错误代码有IRQL_NOT_LESS_OR_EQUAL、SYSTEM_THREAD_EXCEPTION_NOT_HANDLED、PAGE_FAULT_IN_NONPAGED_AREA等等。
这些代码通常由硬件或软件故障引起，包括驱动程序问题、内存错误、硬件故障等。
接下来，我们来解析一些常见的蓝屏错误代码。
首先是IRQL_NOT_LESS_OR_EQUAL，它通常表示驱动程序冲突或内存错误。
解决这个问题的方法是更新或卸载有问题的驱动程序，或者检查内存是否有错误。
其次是SYSTEM_THREAD_EXCEPTION_NOT_HANDLED，它表示某个线程引发了一个未处理的异常。
解决这个问题的方法是更新操作系统或软件补丁，或者检查是否有过热或硬件故障的问题。
最后是PAGE_FAULT_IN_NONPAGED_AREA，它表示发生了一个无法访问的内存页错误。
解决这个问题的方法是检查硬件是否有问题，如内存条是否插好或是否需要更换。
除了这些常见的蓝屏错误代码，还有一些其他的代码需要我们关注。
例如，如果出现了KERNEL_SECURITY_CHECK_FAILURE，它表示发生了一个内核安全检查失败的错误。
解决这个问题的方法是更新操作系统或软件驱动程序，或者检查是否有恶意软件感染。
另一个常见的错误代码是DRIVER_POWER_STATE_FAILURE，它表示某个驱动程序在进入或退出电源状态时出现了问题。
解决这个问题的方法是更新驱动程序或调整电源管理设置。
如何利用windbg分析蓝屏
如何利用windbg分析蓝屏
电脑蓝屏经常遇见,但是发生蓝屏后我们千万别慌，其实我们可以利用蓝屏分析工具来分析蓝屏，下面就由店铺跟大家分享如何利用windbg分析蓝屏吧，希望对大家有所帮助~
利用windbg分析蓝屏步骤
Windbg蓝屏分析工具，也叫Windows Debugging Tool，结合微软官网知识库中的案列来处理问题，比较靠谱一些。
用WinDBG工具分析、处理蓝屏问题，要确保系统有生成内存转储文件。
开始→控制面板→系统→高级→启动和故障恢复→设置→写入调试信息→小内存转储→确定
蓝屏相关文件会保存在C:\Windows\MiniDump目录下面。
所以，出现蓝屏后，先检查系统中有没有C:\Windows\Memory(按照日期命名的文件).dmp这个文件。
其次，不同的操作系统需要使用不同的版本(32位、64位)，下载、解压文件之后，将汉化文件复制(Ctrl+C)、黏贴(Ctrl+V)到和当前操作系统的位数相匹配的文件夹中即可使用。
选一个临时目录存放Symbol文件。
比如，在系统盘根目录建立一个C:\Temp临时文件夹。
打开分析工具之后，需要配置一下：文件→符号文件路径
在其中输入：SRV*c:\temp*/download/symbols →确定
以后，遇到蓝屏，使用该工具打开.dmp(扩展名)的文件，保持联网即可分析了。
Windbg分析Windows蓝屏原因的方法
Windbg 分析Windows蓝屏原因的方法蓝屏是系统崩溃。
操作系统在遇到致命错误导致崩溃时，并不是直接挂掉，而是会记录下当时内存中的数据，将其存储成为dump文件，并用一串蓝屏代码向用户做出提示。
一、如何获取DUMP文件右键点击“我的电脑”，选“属性→高级→启动和故障恢复→设置”，打开“启动和故障恢复”选项卡，在“写入调试信息”下拉列表中选中“小内存转储（64KB）”选项，如图1。
选好后点确定，下次再出现蓝屏时，系统就会存储下dump文件，一般存放位置在系统盘的minidump文件夹下。
（建议在该文件夹上点右键——属性——发送到——桌面快捷方式，以后就能在桌面上找到该文件夹了）小知识：小内存转储内存转储是用于系统崩溃时，将内存中的数据转储保存在转储文件中，供给有关人员进行排错分析使用。
小内存转储，就是只保存内存前64KB的基本空间数据的内存转储文件。
这样可以节省磁盘空间，也方便文件的查看。
选好后点“确定”，这样操作系统在下次出现蓝屏时，就会记录下当时内存中的数据，并存储为dump文件，该文件存放在系统盘的minidump文件夹下。
小知识：Dump文件Dump文件是用来给驱动程序编写人员调试驱动程序用的，这种文件必须用专用工具软件打开，比如使用WinDbg打开。
第二步，下载安装windbg并安装/whdc/devtools/debugging/installx86.mspx第三步，使用windbg诊断蓝屏错误遇到计算机蓝屏后重启，在minidump文件夹下会出现一个以日期为文件名的文件，那就是我们要的了。
接下来打开windbg软件启动，File—>Open Crash Dump,如图：然后找到你的minidump文件夹，dump文件一般是"时间.dmp"打开后就会自动分析了。
分析完后，看最下面，找到probably caused by这一行，如图：那个360AntiArp.sys文件就是问题所在(举例，仅供参考)，根据相关的文件名，在硬盘内查找和该文件相关的程序，排除该程序的影响后，确认是否还有蓝屏问题出现。
使用dump文件分析系统蓝屏原因
使用dump文件分析系统蓝屏原因出处：/746253/709702目录1 什么是dump文件2 如何让系统在崩溃时记录dump文件3 使用Debugging Tools for Windows (windebug)来分析dump文件3.1 什么是windebug3.2 windebug最新版安装方法（此方法为在线安装）3.3 windebug的symbol符号文件的路径配置3.4 dump文件的分析1 什么是dump文件当系统崩溃在蓝屏瞬间，系统会形成一个扩展名为dmp的存储器转储文件，默认存储位置为C：\WINDOWS\Minidmp。
2 如何让系统在崩溃时记录dump文件A．右击“我的电脑”选择“属性”，在“系统属性”对话框中选择“高级”B.在“启动和故障恢复”中选择“设置”，具体设置如下图所示3 使用Debugging Tools for Windows (windebug)来分析dump文件3.1什么是windebugwindebug是微软发布的一款相当优秀的源码级(source-level)调试工具，可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。
3.2 windebug最新版安装方法（此方法为在线安装）A.从/download/en/details.aspx?displaylang=en&id=8279下载B.安装netFramework2.0C.运行1中下载的winsdk_web.exe3.3 windebug的symbol符号文件的路径配置为 windebug 设置 symbol 路径可以提高对dump文件分析的准确性，给我们更多有价值的错误信息。
A．在/en-us/windows/hardware/gg463028.aspx根据实际需要下载相应的版本B．安装下载的symbol符号文件3.4 dump文件的分析详细代码如下Loading Dump File [C:\Documents and Settings\test-pc\桌面\dump文件\Mini102011-01.dmp]Mini Kernel Dump File: Only registers and stack trace are availableSymbol search path is:C:\WINDOWS\Symbols;SRV*C:\Windows\symbols*/download/sy mbolsExecutable search path is:Windows XP Kernel Version 2600 (Service Pack 3) MP (4 procs) Free x86 compatible Product: WinNt, suite: TerminalServer SingleUserTSBuilt by: 2600.xpsp_sp3_gdr.101209-1647Machine Name:Kernel base = 0x804d8000 PsLoadedModuleList = 0x8055e720Debug session time: Thu Oct 20 14:37:16.343 2011 (UTC + 8:00)System Uptime: 0 days 0:00:43.312Loading Kernel Symbols ............................................................... ..........................................Loading User SymbolsLoading unloaded module list....*** WARNING: Unable to verify timestamp for nv4_disp.dll*** ERROR: Module load completed but symbols could not be loaded for nv4_disp.dll*************************************************************************** ***** ** Bugcheck Analysis ** **************************************************************************** ****Use !analyze -v to get detailed debugging information.BugCheck 100000EA, {88a18908, 88ced810, b84fbcbc, 1}ERROR - could not read driver name for bugcheck parameter 3Probably caused by : nv4_disp.dll ( nv4_disp+28526 )Followup: MachineOwner---------3: kd> !analyze -v*************************************************************************** ***** ** Bugcheck Analysis ** **************************************************************************** ****THREAD_STUCK_IN_DEVICE_DRIVER_M (100000ea)The device driver is spinning in an infinite loop, most likely waiting forhardware to become idle. This usually indicates problem with the hardwareitself or with the device driver programming the hardware incorrectly.If the kernel debugger is connected and running when watchdog detects atimeout condition then DbgBreakPoint() will be called instead of KeBugCheckEx()and detailed message including bugcheck arguments will be printed to thedebugger. This way we can identify an offending thread, set breakpoints in it,and hit go to return to the spinning code to debug it further. BecauseKeBugCheckEx() is not called the .bugcheck directive will not return bugcheck information in this case. The arguments are already printed out to the kernel debugger. You can also retrieve them from a global variable via"dd watchdog!g_WdBugCheckData l5" (use dq on NT64).On MP machines it is possible to hit a timeout when the spinning thread isinterrupted by hardware interrupt and ISR or DPC routine is running at the timeof the bugcheck (this is because the timeout's work item can be delivered andhandled on the second CPU and the same time). If this is the case you will haveto look deeper at the offending thread's stack (e.g. using dds) to determinespinning code which caused the timeout to occur.Arguments:Arg1: 88a18908, Pointer to a stuck thread object. Do .thread then kb on it to find the hung location.Arg2: 88ced810, Pointer to a DEFERRED_WATCHDOG object.Arg3: b84fbcbc, Pointer to offending driver name.Arg4: 00000001, Number of times "intercepted" bugcheck 0xEA was hit (see notes).Debugging Details:------------------ERROR - could not read driver name for bugcheck parameter 3FAULTING_THREAD: 88a18908FAULTING_IP:nv4_disp+28526bd03a526 ?? ???IMAGE_NAME: nv4_disp.dllDEBUG_FLR_IMAGE_TIMESTAMP: 4bb7e5d1MODULE_NAME: nv4_dispFAULTING_MODULE: bd012000 nv4_dispDEFAULT_BUCKET_ID: GRAPHICS_DRIVER_FAULTCUSTOMER_CRASH_COUNT: 1BUGCHECK_STR: 0xEAPROCESS_NAME: csrss.exeLAST_CONTROL_TRANSFER: from e3a33010 to bd03a526STACK_TEXT:WARNING: Stack unwind information not available. Following frames may be wrong. b816758c e3a33010 e3a33010 e3a33010 00000080 nv4_disp+0x28526b8167590 e3a33010 e3a33010 00000080 bd04e0b0 0xe3a33010b8167594 e3a33010 00000080 bd04e0b0 00000000 0xe3a33010b8167598 00000000 bd04e0b0 00000000 00000000 0xe3a33010STACK_COMMAND: .thread 0xffffffff88a18908 ; kbFOLLOWUP_IP:nv4_disp+28526bd03a526 ?? ???SYMBOL_STACK_INDEX: 0SYMBOL_NAME: nv4_disp+28526FOLLOWUP_NAME: MachineOwnerFAILURE_BUCKET_ID: 0xEA_IMAGE_nv4_disp.dll_DATE_2010_04_04BUCKET_ID: 0xEA_IMAGE_nv4_disp.dll_DATE_2010_04_04Followup: MachineOwner通过红色的代码可以分析出这个蓝屏是由于显卡驱动引起的。
蓝屏dump分析教程(使用WinDbg)
蓝屏dump分析教程(使用WinDbg)一、WinDbg是什么？它能做什么？WinDbg是在windows平台下，强大的用户态和内核态调试工具。
它能够通过dmp文件轻松的定位到问题根源，可用于分析蓝屏、程序崩溃（IE崩溃）原因，是我们日常工作中必不可少的一个有力工具，学会使用它，将有效提升我们的问题解决效率和准确率。
二、WinDbg6.12.0002.633下载：x86位版本下载：【微软官方安装版】蓝屏Dump分析工具WinDbg(x86).rar (13.2 MB, 11,437 次)x64位版本下载：【微软官方安装版】蓝屏Dump分析工具WinDbg(x64).rar (12.4 MB, 9,498 次)三、设置符号表：符号表是WinDbg关键的“数据库”，如果没有它，WinDbg基本上就是个废物，无法分析出更多问题原因。
所以使用WinDbg设置符号表，是必须要走的一步。
1、运行WinDbg软件，然后按【Ctrl+S】弹出符号表设置窗2、将符号表地址：SRV*C:\Symbols*/download/symbols粘贴在输入框中，点击确定即可。
注：红色字体为符号表本地存储路径，建议固定路径，可避免符号表重复下载。
四、学会打开第一个dmp文件！当你拿到一个dmp文件后，可使用【Ctrl+D】快捷键来打开一个dmp文件，或者点击WinDbg界面上的【File=>Open Crash Dump...】按钮，来打开一个dmp文件。
第一次打开dmp文件时，可能会收到如下提示，出现这个提示时，勾选“Don't ask again in this WinDbg session”，然后点否即可。
当你想打开第二个dmp文件时，可能因为上一个分析记录未清除，导致无法直接分析下一个dmp文件，此时你可以使用快捷键【Shift+F5】来关闭上一个dmp分析记录。
至此，简单的WinDbg使用你已经学会了！五、通过简单的几个步骤学会分析一些dmp文件。
如何使用Debugging Tools for Windows(简单的使用心得)分析蓝屏
Debugging Tools for Windows 学习使用心得其实我的主要工作一直是UI test，UI automation, manual test 等等。
曾经跟领导提过想做些深入点的测试，领导则反问“你Kernel debugging 怎样？”。
这是一个非常有趣的问题，你因为不具备良好的kernel debugging的能力，所以不给你做深入的测试工作，而因为你没有做深入的测试使你也不可能具备kernel debugging的能力。
很多时候事情就是如此矛盾的，而我也曾经说过，一切最终还得靠自己。
前几天发现一个奇怪的bug，分给这里的一个seniro dev他也没太多的办法。
我在一个高手的指导下自己debug and figure out了root cause。
在和这个高手的交流中，也基本明确了一下步的学习目标。
以前的我主要是靠自己摸索，我想多跟高手接触，交流还是非常非常有帮助的，当然机会也不是很多。
那么我的下一步的目标就是“code review, debugging, windows internal and WDM”。
Debugging可以说贯穿了其他的三个，因此我今天先谈谈我对debuggingtools的感受。
我们基本都是用微软提供的几个debuggers，ntsd, cdb, kd, windbg。
ntsd和cbd是user mode debugger, kd是kernel mode debugger, 他们都是command line的，而windbg是UI的debugger, 可以调试both user and kernel mode。
大多数情况，我都是用windbg，但是在一些特殊的情况下，我还是需要其他的tools。
今天我主要是谈windbg，我想学习windbg大概分这么几个阶段：windbg的命令，共三种命令，普通命令，加'.'的命令和加'!'的命令。
win7蓝屏分析与解决办法
win7 蓝屏分析与解决办法-windbg 使用教程 WinDbg 是微软发布的一款相当优秀的源码级(source-level)调试工具， 可以用于 Kernel 模式调试和用户模式调试，还可以调试 Dump 文件。
1. WinDbg 介绍：Debugging Tools and Symbols: Getting Started /whdc/devtools/debugging/debugstart.mspx A word for WinDbg /communityserver/blogs/mike_taultys_blog/archive/2004/08/03/4656.aspx2. WinDbg 下载：Install Debugging Tools for Windows 32-bit Version /whdc/devtools/debugging/installx86.mspx Install Debugging Tools for Windows 64-bit Versions /whdc/devtools/debugging/install64bit.mspx3. 配置 WinDbg：运行 WinDbg->菜单->File->Symbol File Path->按照下面的方法设置_NT_SYMBOL_PATH 变量： 在弹出的框中输入“C:\MyCodesSymbols; SRV*C:\MyLocalSymbols*/download/symbols”(按照这样设置，WinDbg 将先从本地文件夹 C:\MyCodesSymbols 中查找 Symbol，如果找不到，则自动从 MS 的 Symbol Server 上下载 Symbols)。
另一种做法是从这个 Symbol 下载地址中 /whdc/devtools/debugging/symbolpkg.mspx，下载相应操作系统所需要 的完整的 Symbol 安装包，并进行安装，例如我将其安装在 D:\WINDOWS\Symbols，在该框中输入 “D:\WINDOWS\Symbols”。
蓝屏情况分析报告
蓝屏情况分析报告引言蓝屏是指在计算机运行过程中突然出现蓝色屏幕，系统无法继续运行的情况。
蓝屏问题是计算机使用过程中常见的故障之一，影响了日常工作和学习。
本文将从步骤和思考角度，对蓝屏情况进行分析和解决。
步骤一：观察蓝屏现象首先，我们需要观察蓝屏时的具体现象，包括出现蓝屏的时间、频率、是否伴随错误代码等。
记录这些信息有助于分析问题的原因。
步骤二：排除外部设备故障蓝屏问题有时可能是由于外部设备的故障引起的。
我们可以尝试拔下所有外部设备（如打印机、移动硬盘、USB设备等），重启计算机，观察是否还会出现蓝屏情况。
如果问题得到解决，那么就可以确定是某个外部设备引起的故障，可以逐个排查。
步骤三：检查硬件故障如果排除了外部设备故障，我们需要检查计算机硬件是否存在故障。
可以进行以下操作： 1. 清理计算机内部灰尘，确保散热良好。
2. 检查内存条是否松动，可以尝试重新插拔内存条。
3. 检查硬盘连接是否良好，确保没有松动。
步骤四：检查驱动程序问题驱动程序问题也是导致蓝屏的常见原因之一。
我们可以尝试以下步骤： 1. 进入设备管理器，检查是否有黄色感叹号或问号标记的设备。
如果有，可能是该设备的驱动程序有问题。
2. 更新驱动程序，可以通过设备管理器中的自动更新功能或者访问硬件制造商的官方网站手动下载最新驱动程序。
步骤五：检查系统更新系统更新可以修复已知的漏洞和问题，因此也可能与蓝屏问题相关。
我们可以进行以下操作： 1. 打开“Windows 更新”设置，检查是否有待安装的更新。
2. 如果有更新可用，安装并重启计算机。
步骤六：查找错误日志在蓝屏发生后，计算机会生成错误日志，记录了导致蓝屏的具体错误原因。
我们可以通过以下步骤查找错误日志： 1. 进入“事件查看器”，选择“Windows 日志”>“系统”。
2. 在右侧窗口中，查找“错误”等级的事件，找到对应的蓝屏错误日志。
步骤七：搜索解决方案蓝屏问题通常是普遍存在的，因此很可能已经有其他用户遇到过类似的问题并提供了解决方案。
通过电脑蓝屏案例来分析蓝屏故障
通过电脑蓝屏案例来分析蓝屏故障一例电脑蓝屏故障表现：电脑开机进不了桌面，出现蓝屏错误提示，进安全模式后重新启动才可以正常使用错误代码如下：a Program has been detected and windows has been shutdown to prevent damage to your computer这里表达的是：一个程序在计算机里运行时出现了错误而导致Windows／计算机停止运行（a Program 一个程序， shutdown 终止、停止）unmountable_boot_volume (没有标记的启动卷)if this is the first time you`ve seen this stop error screen.restart your computer.if this screen appears again. follow these steps:check to make sure any new hardware or software is properly installed.if this is a new installation ask your hardware or software manufacturer for any windows updates you might need.if problems continue,disable or remove any newly installed hardware or software.disablebios memory options such as caching or shadowing. if you need to use safe mode to remove or disable components,restart your computer.(几乎有一半的计算机在蓝屏时会提示以上不明确且难懂的提示，其意思是表达计算机的硬件或软件存在安装问题，需要升级硬件或软件来解决故障，另外，也可以通过去掉重设硬件(BIOS)或软件程序，重新启动计算机系统后再试！)press F8 to select Advanced startup options,and then select safe mode. (这句则很容易理解，其中的关键英文如F8、Safe Mode ，就已经表达了，重新启动时，按下F8键选择安全模式来检测该故障)Technical information:(技术信息，给微软工程师看的)***stop:0x000000ed(0x8234ca68,0xc0000185,0x00000000,0x00000000)(蓝屏代码，可以通过查询Stop后面的代码来查看具体的故障起因，如，这里是0x000000ed，通过查询，其表达的意思是：错误分析:一般是由于磁盘存在错误导致的, 有时也建议检查硬盘连线是否接触不良, 或是没有使用合乎该硬盘传输规格的连接线, 例如ATA-100仍使用ATA-33的连接线, 对低速硬盘无所谓, 但告诉硬盘(支持ATA-66以上)的要求较严格, 规格不对的连线有时也会引起这类没办法开机的故障. 如果在修复后, 还是经常出现这个错误, 很可能是硬盘损坏的前兆.这例电脑蓝屏故障的解决方案：一般情况下, 重启会解决问题, 不管怎么样都建议执行"chkdsk /r"命令来检查修复硬盘)从实际故障排除过程中发现，蓝屏代码在一定程度上只能告诉我们一些很客观的信息，并不能帮我们完全解决故障，我们应当从源头分析，来解决该电脑蓝屏故障：１、计算机为什么会蓝屏计算机在使用时，都是由硬件设备读取硬盘中的信息到内存中经过处理后返回内存而分配到各硬件来协作，从而达到我们做出一个动作，计算机返回一个动作，若这个过程中出现错误，而使计算机进入死循环或无法处理，则可能出现死机、蓝屏等现象。
Windbg工具使用和系统蓝屏检测分析思路
Windows 蓝屏检测/分析思路一.基本概念1.页面文件指操作系统反映构建并使用虚拟内存的硬盘空间大小所使用的文件。
具体来说，在windows操作系统下pagefile.sys这个文件，它就是系统页面文件(也就是大家熟知的虚拟内存文件)，它的大小取决于打开的程序多少和你原先设置页面文件的最小最大值，是不断变化的，有时可能只有几十M，有时则达到600M以上。
2.小存储器转储文件小存储器转储文件记录可帮助确定计算机为什么意外停止的最小的有用信息集。
此选项要求启动卷（一般指系统分区，如 C 区）上有一个至少为 2 MB 的页面文件。
在运行 Microsoft Windows 2000 或更高版本的计算机上，计算机每次意外停止时 Windows 都会新建一个文件。
这些文件的历史记录存储在一个文件夹中。
二.DUMP 文件1.概念： Dump文件是进程的内存镜像。
可以把程序的执行状态通过调试器保存到dump文件中。
该文件是用来给驱动程序编写人员调试驱动程序用的，这种文件必须用专用工具软件打开，比如使用WinDbg打开。
2.用途： Dump 文件分析很大程度上就是分析蓝屏产生的原因。
这种系统级的错误算是Windows提示错误中比较严重的一种(更严重的还有启动黑屏等硬件或软件兼容性错误等等)。
说它是比较严重，是因为毕竟Windows还提供了dump文件给用户分析，至少能比较容易的找到错误的原因。
一般蓝屏要么是内核程序中的异常或违规，要么是数据结构的损坏，也有启动或关机的时候内核出错。
有时候蓝屏是一闪而过，紧接着是系统重启；有时候是蓝屏等待。
总之蓝屏的时候都提示了一些停止代码和错误信息，不过这些提示是不全面的，最多知道哪个模块出错(比如驱动)。
想了解进一步的信息，或者通过搜索引擎，最好的方式当然是dump文件分析。
当然，如果有更进一步研究的欲望，内核调试是更好的方法，不过这需要某些软件支持和调试技巧。
3.类型Dump文件有三种：完整内存转储，内核内存转储，小内存转储。
blue screen view 的使用方法
一、概述在计算机使用过程中，有时候会遇到蓝屏的情况，即出现了蓝屏错误。
而要排查蓝屏错误，就需要借助于一款专门的工具，即blue screen view。
该工具可以帮助用户快速定位蓝屏错误，并提供相关的错误信息，为后续的故障排除提供了重要参考。
二、blue screen view 的下载与安装1. 在浏览器中搜索“blue screen view”关键词，找到官方全球信息湾或者可信赖的第三方全球信息湾进行下载。
2. 下载完成后，双击安装程序，按照提示完成软件的安装过程。
3. 安装完成后，双击桌面上的blue screen view图标，启动软件。
三、blue screen view 的界面介绍1. 主界面：启动blue screen view后，首先看到的是该软件的主界面。
主界面上方有菜单栏和工具栏，提供了各种操作和设置选项；中间是蓝屏错误列表，列表中会显示出发生蓝屏的时间、错误代码等信息；下方是详细信息窗口，显示所选蓝屏错误的具体信息。
2. 菜单栏功能：菜单栏提供了文件、编辑、查看等功能选项，用户可以根据实际需求进行相应的设置和操作。
3. 工具栏功能：工具栏提供了一些常用的操作按钮，例如刷新、导出报告等，能够帮助用户更快捷地进行操作。
四、使用 blue screen view 分析蓝屏错误1. 查看蓝屏错误信息：在蓝屏错误列表中选中一条错误记录，可以在详细信息窗口中看到该错误的具体信息，包括错误代码、错误描述、发生时间等。
这些信息对于后续的故障排查非常重要。
2. 导出报告：用户可以将蓝屏错误信息导出成报告，方便保存和共享。
点击工具栏上的“导出报告”按钮，选择保存路径和格式，即可将报告保存到指定位置。
3. 重要参数解读：在详细信息窗口中，用户可以看到各种详细的参数信息，例如内存位置区域、寄存器状态等。
这些信息有助于用户更准确地定位错误产生的原因。
五、注意事项1. blue screen view 是一款专业的蓝屏错误分析工具，但并不是万能的。
如何解决电脑蓝屏问题排查故障根源
如何解决电脑蓝屏问题排查故障根源传统文书格式：如何解决电脑蓝屏问题：排查故障根源概述：电脑蓝屏问题是许多电脑用户常常面临的困扰。
本文将介绍如何解决电脑蓝屏问题，并重点讨论如何排查故障根源。
下面是一些解决电脑蓝屏问题的常用方法，供您参考。
I. 硬件故障排查电脑蓝屏问题可能源自硬件故障。
在排查故障之前，您可以考虑以下步骤：1. 检查电脑连接：确保电脑内部和外部连接良好，并排除任何松动的电缆或插头。
2. 内部硬件检查：打开电脑箱，检查各个硬件组件是否正确插入。
特别关注内存条、显卡和硬盘等组件。
3. 温度检测：使用温度检测软件监控电脑硬件的温度。
过热可能导致蓝屏问题。
4. 替换硬件：如果经过上述步骤后问题依旧存在，考虑更换可能出现故障的硬件组件。
II. 软件故障排查电脑蓝屏问题也可能是由软件故障引起的。
以下是一些常见的软件故障排查方法：1. 更新驱动程序：确保您的电脑上的所有驱动程序都是最新的。
过时的驱动程序可能会导致兼容性问题，从而引发蓝屏问题。
2. 扫描恶意软件：运行杀毒软件和恶意软件扫描程序，以确保您的电脑没有受到病毒或恶意软件的感染。
3. 检查安装的程序：卸载最近安装的程序，查看是否与蓝屏问题有关。
有时，不兼容的程序可能导致系统崩溃。
4. 系统还原：考虑使用系统还原功能，将电脑恢复到之前没有蓝屏问题的状态。
III. 硬件和软件故障排查有时，蓝屏问题可能既有硬件故障又有软件故障。
在这种情况下，可以尝试以下方法：1. 均衡负载：检查您的电脑是否超负荷运行。
过多的运行程序和任务可能导致电脑崩溃。
关闭一些程序，分担负载。
2. 更新操作系统：确保您的操作系统是最新的版本，并安装所有更新补丁。
3. 进行硬件测试：使用专业硬件测试工具对您的电脑进行全面测试。
这将有助于检测任何潜在的硬件故障。
4. 重新安装操作系统：作为最后的手段，重新安装操作系统可能是解决蓝屏问题的有效方法。
确保备份重要文件并按照正确的步骤进行操作系统重新安装。
30个常见的电脑蓝屏代码分析及解决方法
30个常见的电脑蓝屏代码分析及解决方法关键信息项：1、蓝屏代码：列举 30 个常见的蓝屏代码2、错误描述：对每个蓝屏代码所代表的错误进行详细描述3、可能原因：分析导致每个蓝屏代码出现的多种可能原因4、解决方法：提供针对每个蓝屏代码的有效解决办法11 蓝屏代码 0x0000000A111 错误描述：IRQL_NOT_LESS_OR_EQUAL ，表示在内核模式中存在过高的进程内部请求级别（IRQL)。
112 可能原因：新安装的硬件设备驱动程序不兼容。
系统服务或第三方应用程序产生冲突。
内存故障或不兼容。
113 解决方法：进入安全模式，卸载最近安装的硬件驱动程序。
执行系统还原到问题发生之前的时间点。
检查并更换故障内存。
12 蓝屏代码 0x0000001E121 错误描述：KMODE_EXCEPTION_NOT_HANDLED ，表示内核模式中的异常未被处理。
122 可能原因：硬件设备故障。
系统文件损坏。
恶意软件感染。
123 解决方法：使用硬件诊断工具检测硬件问题。
运行系统文件检查工具修复损坏的系统文件。
进行全面的病毒和恶意软件扫描及清除。
13 蓝屏代码 0x00000050131 错误描述：PAGE_FAULT_IN_NONPAGED_AREA ，表示在非分页区域发生页面错误。
132 可能原因：驱动程序错误。
硬件故障，如硬盘问题。
系统注册表损坏。
133 解决方法：更新或重新安装有问题的驱动程序。
检查硬盘的健康状况并修复错误。
修复注册表错误。
14 蓝屏代码 0x0000007B141 错误描述：INACCESSIBLE_BOOT_DEVICE ，表示无法访问启动设备。
142 可能原因：硬盘数据线连接问题。
硬盘驱动器故障。
硬盘分区或引导配置错误。
143 解决方法：检查并重新连接硬盘数据线。
更换故障硬盘。
修复硬盘分区或引导配置。
15 蓝屏代码 0x0000007E151 错误描述：SYSTEM_THREAD_EXCEPTION_NOT_HANDLED ，表示系统线程产生的异常未被处理。
WINDOWS蓝屏故障的分析
WINDOWS蓝屏故障的分析By Norman 2004．10概要：本文简要介绍怎么使用微软的工具dumpchk.exe和pstat.exe去分析Windows蓝屏的原因适用：Windows NT或者2000的“停止”错误（也称“蓝屏”、系统崩溃、或错误检查）更多信息：大家可能都曾经碰到过Windows的蓝屏故障，当发生这种状况的时候，我们可以尝试使用微软的工具去定位问题发生在哪里。
下面是简单的步骤：1，首先打开“我的电脑”属性--〉“高级”—〉“启动和故障恢复”—〉“写入调试信息”中，选“完全内存转储”或者“核心内存转储”或者“小内存转储”，如下图。
2，运行微软的pstat.exe，生成一个记录内存地址信息的文件。
Pstat.exe 是一个资源工具包实用工具（可以在资源工具包中找到或者在网上下载），您可通过它了解当前系统上运行的进程和驱动程序的信息。
在所有这些用途中，最有用的信息是在输出结束时显示的加载驱动程序的列表。
您所需要做的就是从命令行运行Pstat.exe。
可以使用以下语法，将 Pstat.exe 提供的信息输出到某个文件中：pstat.exe > filename以下示例是输出结束时显示的驱动程序列表：ModuleName Load Addr Code Data Paged LinkDate----------------------------------------------------------------------ntoskrnl.exe80100000 270272 40064 434816 Sun May 11 00:10:39 1997hal.dll 80010000 20384 2720 9344 Mon Mar 10 16:39:20 1997aic78xx.sys 80001000 20512 2272 0 Sat Apr 05 21:16:21 1997SCSIPORT.SYS 801d7000 9824 32 15552 Mon Mar 10 16:42:27 1997Disk.sys 80008000 3328 0 7072 Thu Apr 24 22:27:46 1997CLASS2.SYS 8000c000 7040 0 1632 Thu Apr 24 22:23:43 1997INO_FLPY.SYS 801df000 9152 1472 2080 Tue May 26 18:21:40 1998Ntfs.sys 801e3000 68160 5408 269632 Thu Apr 17 22:02:31 1997Floppy.SYS f7290000 1088 672 7968 Wed Jul 17 00:31:09 1996Cdrom.SYS f72a0000 12608 32 3072 Wed Jul 17 00:31:29 1996。
蓝屏Dump文件分析方法
蓝屏Dump⽂件分析⽅法WinDbg使⽤有点⿇烦，还要符号表什么的。
试了下，感觉显⽰很乱，分析的也不够全⾯。
试试其他的吧！今天电脑蓝屏了，就使⽤其dump⽂件测试，如下：1、⾸先，最详细的，要属Osr Online这个在线分析⽹站了：打开其分析地址：下拉，找到上传按钮(上图)，将需要分析的dump⽂件浏览上传即可。
dump⽂件⼀般在C:\Windows\minidump下分析完成后⽣成的内容⾮常多：主要看第⼀个Primary Analysis就好了：Crash Dump Analysis provided by OSR Open Systems Resources, Inc. ()Online Crash Dump Analysis ServiceSee for more informationWindows 7 Kernel Version 7601 (Service Pack 1) MP (4 procs) Free x64Product: WinNt, suite: TerminalServer SingleUserTSBuilt by: 7601.18741.amd64fre.win7sp1_gdr.150202-1526Machine Name:Kernel base = 0xfffff800`04606000 PsLoadedModuleList = 0xfffff800`0484a890Debug session time: Sun Mar 1307:26:48.1292016 (UTC - 4:00)System Uptime: 12 days 22:27:09.972******************************************************************************** ** Bugcheck Analysis ** ********************************************************************************SYSTEM_SERVICE_EXCEPTION (3b)An exception happened while executing a system service routine.Arguments:Arg1: 00000000c0000005, Exception code that caused the bugcheckArg2: fffff960000c7237, Address of the instruction which caused the bugcheckArg3: fffff88006e6e9d0, Address of the context record for the exception that caused the bugcheckArg4: 0000000000000000, zero.Debugging Details:------------------TRIAGER: Could not open triage file : e:\dump_analysis\program\triage\modclass.ini, error 2EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at "0x%08lx" referenced memory at "0x%08lx". The memory could not be "%s".FAULTING_IP:win32k!HmgLockEx+a3fffff960`000c7237 0fb7430c movzx eax,word ptr [rbx+0Ch]CONTEXT: fffff88006e6e9d0 -- (.cxr 0xfffff88006e6e9d0)rax=fffff900c0210000 rbx=0000000000000000 rcx=fffffa800cc05b50rdx=fffff900c0210000 rsi=0000000000000000 rdi=fffff900c0210000rip=fffff960000c7237 rsp=fffff88006e6f3b0 rbp=0000000000000000r8=0000000000000001 r9=0000000000000000 r10=0000000000000000r11=fffff88006e6f418 r12=000000006601ac00 r13=0000000000000000r14=0000000000000001 r15=0000000000000001iopl=0 nv up ei pl zr na po nccs=0010 ss=0000 ds=002b es=002b fs=0053 gs=002b efl=00010246win32k!HmgLockEx+0xa3:fffff960`000c7237 0fb7430c movzx eax,word ptr [rbx+0Ch] ds:002b:00000000`0000000c=????Resetting default scopeCUSTOMER_CRASH_COUNT: 2DEFAULT_BUCKET_ID: WIN7_DRIVER_FAULTBUGCHECK_STR: 0x3BPROCESS_NAME: dwm.exeCURRENT_IRQL: 0LAST_CONTROL_TRANSFER: from fffff9600028dc00 to fffff960000c7237STACK_TEXT:fffff880`06e6f3b0 fffff960`0028dc00 : fffff900`cddb1320 000006ff`31355348 fffff900`c00cd010 fffff900`d3bc6010 : win32k!HmgLockEx+0xa3fffff880`06e6f420 fffff960`001e3a4c : fffff900`cddb1320 fffff900`cddb1320 fffff900`c00cd010 fffff900`c00cd070 : win32k!SFMLOGICALSURFACE::OwnsSurfaceCleanup+0x40 fffff880`06e6f450 fffff960`001570f9 : fffff900`00000001 fffff900`d3bc6028 00000000`0000000000000029`00000029 : win32k!GreTransferDwmStateToSpriteState+0xf4fffff880`06e6f540 fffff960`0015768d : 00000000`0000000100000000`0000000000000000`00000001 fffff960`00000000 : win32k!zzzDecomposeDesktop+0x139fffff880`06e6f5d0 fffff960`0012c40b : fffffa80`0c132690 fffff880`06e6fae0 00000000`0000000100000000`00000000 : win32k!xxxDwmStopRedirection+0x69fffff880`06e6f620 fffff960`000cad71 : 00000000`0000000000000000`00000000 fffff900`c04010e0 fffffa80`0cc05b00 : win32k!xxxDwmProcessShutdown+0x3bfffff880`06e6f650 fffff960`000ef8d3 : fffff900`c2197c48 fffff900`c2197c20 fffff900`c2197c20 fffff900`c2197c20 : win32k!xxxDestroyThreadInfo+0x5a9fffff880`06e6f720 fffff960`000c6c10 : 00000000`00000000 fffffa80`0cc05b50 fffffa80`0cc05b50 00000000`00000001 : win32k!UserThreadCallout+0x93fffff880`06e6f750 fffff800`04952615 : 00000000`0000000000000000`0000000000000000`00000000 fffffa80`0cc05b00 : win32k!W32pThreadCallout+0x78fffff880`06e6f780 fffff800`04938a75 : 00000000`c0000005 00000000`0000000000000000`7845730000000000`00000000 : nt!PspExitThread+0x285fffff880`06e6f880 fffff800`0466e6fa : 00000000`00000002 fffffa80`0cc05c58 fffff880`06e6fa10 fffff800`047f7e80 : nt!PsExitSpecialApc+0x1dfffff880`06e6f8b0 fffff800`0466ea40 : 00000000`000ff530 fffff880`06e6f930 fffff800`049389e8 00000000`00000001 : nt!KiDeliverApc+0x2cafffff880`06e6f930 fffff800`0467a1f7 : fffffa80`0cc05b50 00000000`000ff418 fffff880`06e6fa88 00000000`00000000 : nt!KiInitiateUserApc+0x70fffff880`06e6fa70 00000000`76e0186a : 00000000`0000000000000000`0000000000000000`0000000000000000`00000000 : nt!KiSystemServiceExit+0x9c00000000`000ff3f8 00000000`00000000 : 00000000`0000000000000000`0000000000000000`0000000000000000`00000000 : 0x76e0186aFOLLOWUP_IP:win32k!HmgLockEx+a3fffff960`000c7237 0fb7430c movzx eax,word ptr [rbx+0Ch]SYMBOL_STACK_INDEX: 0SYMBOL_NAME: win32k!HmgLockEx+a3FOLLOWUP_NAME: MachineOwnerMODULE_NAME: win32kIMAGE_NAME: win32k.sysDEBUG_FLR_IMAGE_TIMESTAMP: 54ee9222STACK_COMMAND: .cxr 0xfffff88006e6e9d0 ; kbFAILURE_BUCKET_ID: X64_0x3B_win32k!HmgLockEx+a3BUCKET_ID: X64_0x3B_win32k!HmgLockEx+a3Followup: MachineOwner---------Primary Analysis⾥⾯提到的重点就是dwm.exe和win32k.sys。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
如何读取Windows 为进行调试而创建的小存储器转储文件概要本文分步介绍了如何检查小存储器转储文件。
使用该文件，可以确定计算机停止响应的原因。
小存储器转储文件小存储器转储文件记录可帮助确定计算机为什么意外停止的最小的有用信息集。
此选项要求启动卷上有一个至少为 2 MB 的页面文件。
在运行 Microsoft Windows 2000 或更高版本的计算机上，计算机每次意外停止时 Windows 都会新建一个文件。
这些文件的历史记录存储在一个文件夹中。
该转储文件类型包括以下信息：•Stop 消息及其参数和其他数据•加载的驱动程序的列表•已停止的处理器的上下文(PRCB)•已停止的进程的信息和内核上下文(EPROCESS)•已停止的进程的信息和内核上下文(ETHREAD)•已停止的线程的内核模式调用堆栈当硬盘空间有限时，小存储器转储文件十分有用。
但是，由于包括的信息有限，因此，通过分析此文件，可能无法发现并非由正在运行的线程在出现问题时直接导致的错误。
如果发生第二个问题并且 Windows 创建第二个小存储器转储文件，则 Windows 会保留以前的文件。
Windows 为每个文件提供一个用日期编码的独特文件名。
例如，Mini022900-01.dmp 是 2000 年 2 月 29 日生成的第一个存储器转储文件。
Windows 将所有小存储器转储文件的列表保存在 %SystemRoot%\Minidump 文件夹中。
配置转储类型要配置启动和故障恢复选项以使用小存储器转储文件，请按照下列步骤操作。
注意：由于Microsoft Windows 有多个版本，因此下列步骤可能与在您的计算机上执行的步骤有所不同。
如果是这样，请参阅您的产品文档来完成这些步骤。
1. 单击“开始”，指向“设置”，然后单击“控制面板”。
2. 双击“系统”。
3. 单击“高级”选项卡，然后单击“启动和故障恢复”下的“设置”。
4. 在“写入调试信息”列表中单击“小存储器转储 (64k)”。
要更改小存储器转储文件的文件夹位置，请在“转储文件”框中（或在“小转储目录”框中，具体取决于 Windows 的版本）键入新路径。
用于读取小存储器转储文件的工具站点下载并安装 Windows 调试工具程序包：/whdc/devtools/debugging/default.mspx通过该 Web 页，还可以访问用于 Windows 的可下载符号程序包。
要使用该资源，可以在所下载的本地符号或符号服务器使用的符号缓存将驻留的磁盘驱动器上创建一个文件夹。
例如，使用 C:\Symbols。
您可以将下面的符号路径与本文中介绍的所有命令一起使用：SRV*c:\symbols*/download/symbols如果将符号下载到本地文件夹中，则可以使用该文件夹的路径作为您的符号路径。
打开转储文件打开开始—>程序—>Debugging Tools for Windows－>WinDbg出现以下画面。
添加字符库链接在symbol path 下添加srv*C:\\sys*/download/symbols选择Open Crash Dump打开minidump 文件选择dump 文件后，Windbg 就开始分析dump 文件。
如下图所示等分析完成后，这个工具会列出造成蓝屏的文件，如下图所示:蓝屏由uhcd.sys 造成。
您还可以使用多个命令收集转储文件中的信息，其中包括以下命令：•“!analyze -show”命令显示 Stop 错误代码及其参数。
Stop 错误代码也称为“调试检查代码”。
•!analyze -v命令显示详细的输出内容。
•lm N T命令列出指定的加载模块。
输出内容包括模块的状态和路径。
要获取有关其他命令的帮助以及完整的命令语法，请参阅调试工具的帮助文档。
在以下位置可以找到调试工具的帮助文档：C:\Program Files\Debugging Tools for Windows\Debugger.chm注意：如果您具有与符号相关的问题，请使用 Symchk 实用工具验证是否正确加载了正确的符号。
有关如何使用 Symchk 的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：311503使用 Microsoft Symbol Server 获取调试符号文件更多细节以下例子是网上的高手共享分析dump文件的例子，供大家参考。
没有安装调试符号的情况在没有安装调试符号的情况下，我们运行ADPlus.vbs，看看有什么结果。
运行下列命令，它将导致对Inetinfo.exe和其他Out-Of-Process (OOP)应用程序的Full-Memory Dumps：cscript.exe adplus.vbs -hang -iisCScript将会输出：Microsoft (R) Windows Script Host Version 5.6Copyright (C) Microsoft Corporation 1996-2001. All rights reserved.以及一个对话框提示你安装调试符号：对话框上建议您安装好调试符号后，新建一个环境变量“_NT_SYMBOL_PA TH”保存调试符号的安装路径。
然后，让我们继续：The '-hang' switch was used, Autdoump is running in 'hang' mode.Dumping process info for IIS 5.x and all COM+ server applicationsexcept for the System application.----------------------------------------------------------------------Dumping process: IIS (INETINFO.EXE)(Process ID: 1140)最后有一个对话框报告日志存放地点：这时候，默认在Debugging Tools For Windows安装路径下新建了一个目录，它的名字类似于这样“Normal_Hang_Mode__Date_10-28-2002__Time_21-25-1919”。
下面是Dump的内容：MemoryDump文件PID-792__INETINFO.EXE__full_2002-10-28_21-25-25-750_0318.dmp，和相应的说明PID-792__INETINFO.EXE__Date_10-28-2002__Time_21-25-1919.log。
说明文件中会依次给出以下信息：✪Autodump+启动的时间✪操作系统信息✪运行计算机名✪堆栈信息✪句柄信息✪线程堆栈遍历信息✪加载的模块信息✪DLL信息✪关键段信息✪线程CPU使用情况信息这是肉眼看得懂的。
至于高达十几MB的DMP文件，只有让WinDBG来解释了。
启动Windbg，按Ctrl+D，将出现选择“Open crash Dump”文件对话框，选中上面的PID-792__INETINFO.EXE__full_2002-10-28_21-25-25-750_0318.dmp。
当出现对话框询问是否保存Workspace Information时，选择Yes。
之后Windbg将会出现两个窗口“Disassembly”和“Command”。
这里我们不需要“Disassembly”窗口，关掉它。
“Command”窗口将会告诉你，当Dump进行时，Active Thread在做什么。
由于我们没有安装调试符号，所以只能遗憾地看到：Symbol search path is: *** Invalid *** : Verify _NT_SYMBOL_PATH setting Executable search path is: ..................................................................Wake debugger - code 80000007 (!!! second chance !!!)eax=00000001 ebx=00000000 ecx=0027aa80 edx=00000000 esi=00000000 edi=00000068 eip=77f8fb68 esp=0006f8a0 ebp=0006f910 iopl=0 nv up ei pl zr na po nc cs=001b ss=0023 ds=0023 es=0023 fs=0038 gs=0000 efl=00000246*** ERROR: Symbol file could not be found. Defaulted to export symbols for ntdll.dll -ntdll!NtReadFile+b:77f8fb68 c22400 ret 0x24*** ERROR: Symbol file could not be found. Defaulted to export symbols for ADVAPI32.dll这时，输入命令“kb”，这是召唤线程堆栈信息的符咒。
你可以查看Windbg帮助，那里写得很明白：KB(Display Stack Backtrace)，B就是显示传入每一个函数的前三个参数。
输出如下所示：0:000> kbChildEBP RetAddr Args to ChildWARNING: Stack unwind information not available. Following frames may be wrong.0006f910 77da86d3 00000068 0006f9d8 00000216 ntdll!NtReadFile+0xb0006f93c 77da9431 00000068 0006f9d8 00000216ADVAPI32!SetSecurityDescriptorSacl+0x4c0006f9b8 77d929f7 00000068 0006f9d8 00000216ADVAPI32!StartServiceCtrlDispatcherW+0x34d0006fbf4 01002884 00279390 010040c8 00000000ADVAPI32!StartServiceCtrlDispatcherA+0x720006fd30 01001e94 002d7f98 00000024 0006ffc0 inetinfo+0x288477dfdbee 2474ff50 2474ff0c fb93e80c 55c3ffff inetinfo+0x1e940c24448d 00000000 00000000 00000000 00000000 0x2474ff50上面的输出可以大致分为三列内容：∙ChildEBP (列1)∙RetAddr (列2)∙Args to Child (列3~ 5)其他可以尽情练习的命令有：~*kb: ~*代表对于所有的线程应用后面的kb动作!locks : show all critical sections (这样你就可以看到挂起时哪一个线程在等待了)lm -- List Modules loaded in the Process dumpdc -- Dump address这几个命令都是重点推荐的，不可不试!安装调试符号的情况以上介绍的是没有安装调试符号的情况，我们来看一看安装了之后有什么不同。