windows-debugging

Windows Debugging Tools (本地免安装版)

本技能封装位于 windows-debugging\10.0.19041.5609\ 的 Windows 调试工具集（Debugging Tools for Windows，版本 10.0.19041.5609）。所有 .exe 均可直接运行，无需安装、无需管理员（内核调试除外）。

如果windows-debugging\10.0.19041.5609\什么都没有，请通知用户下载

关键路径

• 工具根目录（下文用 $TOOLS 指代）： windows-debugging\10.0.19041.5609\
• 命令行用户态调试器：$TOOLS\cdb.exe
• 内核调试器：$TOOLS\kd.exe / $TOOLS\ntkd.exe
• 崩溃抓取：$TOOLS\adplus.exe
• 堆/内存泄漏：$TOOLS\umdh.exe
• dump 校验：$TOOLS\dumpchk.exe / $TOOLS\dumpexam.exe
• 符号校验：$TOOLS\symchk.exe
• 进程列表/终止：$TOOLS\tlist.exe / $TOOLS\list.exe / $TOOLS\kill.exe

符号服务器（最重要）

分析 dump 前必须配符号，否则堆栈全是 ???。微软公共符号服务器：

srv*C:\Symbols*https://msdl.microsoft.com/download/symbols

• 在 WinDbg 图形界面里：File > Symbol File Path 填入上面字符串；或命令窗口执行 .sympath srv*C:\Symbols*https://msdl.microsoft.com/download/symbols 然后 .reload。
• 用 cdb/命令行时通过 -y 参数传入：-y "srv*C:\Symbols*https://msdl.microsoft.com/download/symbols"。
• 公司私有符号服务器把上面的 URL 换成内网 srv* 地址即可。

场景 1：分析蓝屏 / 崩溃 dump（.dmp）

最常用、最自动化的流程：

1. 用 WinDbg 打开 dump：

   & "$TOOLS\windbg.exe" -z "C:\path\to\memory.dmp"
   

2. 打开后自动执行自动分析命令：

   !analyze -v
   

   重点看输出里的 BUGCHECK_CODE、BUGCHECK_STRING、大概率 culprit（Probably caused by）、以及 STACK_TEXT 调用栈。
3. 若符号未加载，先设符号路径再 .reload，重跑 !analyze -v。
4. 常用辅助命令：
   • k / kP — 当前线程调用栈（含参数）
   • lm — 列出已加载模块及符号状态
   • !thread / !process — 线程/进程上下文（内核 dump）
   • !irp — 查 IRP（驱动相关 BSOD 常用）
   • dt nt!_EPROCESS — 查看结构体

非交互（命令行）一次性分析：用 cdb 把命令串通过 -c 传入，适合脚本批量：

& "$TOOLS\cdb.exe" -y "srv*C:\Symbols*https://msdl.microsoft.com/download/symbols" -z "C:\path\to\memory.dmp" -c "!analyze -v; q"

（末尾 q 表示分析完退出。）

场景 2：用 ADPlus 抓取进程崩溃 / 挂起

当目标程序还没崩溃、需要它在崩溃瞬间自动生成 dump 时：

• 崩溃（Crash）模式：

  & "$TOOLS\adplus.exe" -crash -pn <进程名.exe> -o "C:\dumps"
  

  或按 PID：-p <PID>。ADPlus 会挂一个调试器在进程上，进程一崩就写 mini/full dump 到 -o 目录。
• 挂起（Hang）模式（进程卡死无响应）：

  & "$TOOLS\adplus.exe" -hang -pn <进程名.exe> -o "C:\dumps"
  

• 常见附加参数：-fullonfirst 第一次异常就抓 full dump；-quiet 静默（适合脚本）。
• 注意：ADPlus 运行期间会拖慢目标进程；抓完用 kill/结束调试器即可释放。