ProcDump v11.0

Von Mark Russinovich und Andrew Richards

Veröffentlicht am 03.11.2022

ProcDump herunterladen (714 KB)

ProcDump für Linux herunterladen (GitHub)
ProcDump für Mac herunterladen (GitHub)

^{Erstellt mit ZoomIt}

Einführung

ProcDump ist ein Befehlszeilenprogramm, dessen Hauptzweck darin besteht, eine Anwendung auf CPU-Spitzen zu überwachen und Absturzabbilder während einer Spitze zu generieren, die ein Administrator oder Entwickler zur Ermittlung ihrer Ursache verwenden kann. ProcDump umfasst auch die Überwachung von hängenden Fenstern (mit der gleichen Definition für das Hängen eines Fensters, das von Windows und vom Task-Manager verwendet wird) sowie die Überwachung nicht behandelter Ausnahmen. Darüber hinaus kann ProcDump Abbilder basierend auf den Werten von Systemleistungsindikatoren generieren. ProcDump kann auch als allgemeines Hilfsprogramm zum Sichern von Abbildern dienen, das Sie in andere Skripts einbetten können.

Verwenden von ProcDump

Erfassen der Verwendung:

procdump.exe [-mm] [-ma] [-mt] [-mp] [-mc <Mask>] [-md <Callback_DLL>] [-mk]
            [-n <Count>]
            [-s <Seconds>]
            [-c|-cl <CPU_Usage> [-u]]
            [-m|-ml <Commit_Usage>]
            [-p|-pl <Counter> <Threshold>]
            [-h]
            [-e [1] [-g] [-b] [-ld] [-ud] [-ct] [-et]]
            [-l]
            [-t]
            [-f  <Include_Filter>, ...]
            [-fx <Exclude_Filter>, ...]
            [-dc <Comment>]
            [-o]
            [-r [1..5] [-a]]
            [-at <Timeout>]
            [-wer]
            [-64]
            {
                {{[-w] <Process_Name> | <Service_Name> | <PID>} [<Dump_File> | <Dump_Folder>]}
            |
                {-x <Dump_Folder> <Image_File> [Argument, ...]}
            }

Installieren der Verwendung:

procdump.exe -i [Dump_Folder]
            [-mm] [-ma] [-mt] [-mp] [-mc <Mask>] [-md <Callback_DLL>] [-mk]
            [-r]
            [-at <Timeout>]
            [-k]
            [-wer]

Deinstallieren der Verwendung:

procdump.exe -u

Abbildtypen:

Bedingungen:

Lizenzvereinbarung:

Verwenden Sie die Befehlszeilenoption „-accepteula“, um die Sysinternals-Lizenzvereinbarung automatisch zu akzeptieren.

Automatische Beendigung:

-cancel <Target Process PID>

Die Verwendung dieser Option oder das Festlegen eines Ereignisses mit dem Namen „ProcDump-<PID>“ ist identisch mit der Eingabe von STRG+C, um ProcDump ordnungsgemäß zu beenden. Eine ordnungsgemäße Beendigung stellt sicher, dass der Prozess fortgesetzt wird, wenn eine Erfassung aktiv ist. Der Abbruch gilt für ALLE ProcDump-Instanzen, die den Prozess überwachen.

Dateiname:

Standardname der Abbilddatei: PROCESSNAME_YYMMDD_HHMMSS.dmp

Die folgenden Ersetzungen werden unterstützt:

Beispiele

• Schreiben Sie ein Mini-Abbild eines Prozesses namens „notepad“ (es darf nur eine Übereinstimmung vorhanden sein):

  C:\>procdump notepad
  

• Schreiben Sie ein vollständiges Abbild eines Prozesses mit PID „4572“:

  C:\>procdump -ma 4572
  

• Schreiben Sie zuerst ein Mini- und dann ein vollständiges Abbild eines Prozesses mit PID „4572“:

  C:\>procdump -mm -ma 4572
  

• Schreiben Sie drei Mini-Abbilder im Abstand von fünf Sekunden von einem Prozess mit dem Namen „notepad“:

  C:\>procdump -n 3 -s 5 notepad
  

• Schreiben Sie bis zu 3 Mini-Abbilder eines Prozesses mit dem Namen „consume“, wenn er eine CPU-Auslastung von 20 % für die Dauer von fünf Sekunden überschreitet:

  C:\>procdump -n 3 -s 5 -c 20 consume
  

• Schreiben Sie ein Mini-Abbild für einen Prozess mit dem Namen „hang.exe“, wenn eines seiner Fenster länger als fünf Sekunden nicht reagiert:

  C:\>procdump -h hang.exe
  

• Schreiben Sie ein vollständiges und ein Kernelabbild für einen Prozess mit dem Namen „hang.exe“, wenn eines seiner Fenster länger als fünf Sekunden nicht reagiert:

  C:\>procdump -ma -mk -h hang.exe
  

• Schreiben Sie ein Mini-Abbild eines Prozesses mit dem Namen „outlook“, wenn die CPU-Auslastung des Systems zehn Sekunden lang 20 % überschreitet:

  C:\>procdump outlook -s 10 -p "\Processor(_Total)\% Processor Time" 20
  

• Schreiben Sie ein vollständiges Abbild eines Prozesses mit dem Namen „outlook“, wenn die Handleanzahl von Outlook 10.000 überschreitet:

  C:\>procdump -ma outlook -p "\Process(Outlook)\Handle Count" 10000
  

• Schreiben Sie ein vollständiges Abbild von „svchost“ PID 1234, Instanz #87, wenn die Handleanzahl 10.000 überschreitet:

  C:\>procdump -ma 1234 -p "\Process(svchost#87)\Handle Count" 10000
  

  Hinweis: Indikatoren für mehrere Instanzen
  Wenn mehrere Instanzen des Indikators vorhanden sind, müssen Sie den Namen und/oder die Instanznummer einschließen.

  \Processor(NNN)\% Processor Time
  \Thermal Zone Information(<name>)\Temperature
  \Process(<name>[#NNN])\<counter>
  

  Bei älteren Betriebssystemen müssen Sie die PID für „\Process“-Indikatoren anfügen.

  \Process(<name>[_PID])\<counter>
  

  Tipp: Verwenden Sie den Leistungsmonitor, um die Indikatoren anzuzeigen (insbesondere Groß-/Kleinschreibung).
  Tipp: Verwenden Sie für \Process(*)-basierte Leistungsindikatoren PowerShell, um ihrem #NNN eine PID zuzuordnen.

  Get-Counter -Counter "\Process(*)\ID Process"
  

• Schreiben Sie ein vollständiges Abbild für eine Ausnahme (zweite Chance):

  C:\>procdump -ma -e w3wp.exe
  

• Schreiben Sie ein vollständiges Abbild für eine Ausnahme (erste oder zweite Chance):

  C:\>procdump -ma -e 1 w3wp.exe
  

• Schreiben Sie ein vollständiges Abbild für eine Debugzeichenfolgenmeldung:

  C:\>procdump -ma -l w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Abbilder für jede Ausnahme von „w3wp.exe“ (erste oder zweite Chance):

  C:\>procdump -ma -n 10 -e 1 w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Abbilder, wenn der Code, der Name oder die Nachricht einer Ausnahme „NotFound“ enthält:

  C:\>procdump -ma -n 10 -e 1 -f NotFound w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Abbilder, wenn eine Debugzeichenfolgennachricht „NotFound“ enthält:

  C:\>procdump -ma -n 10 -l -f NotFound w3wp.exe
  

• Warten Sie auf einen Prozess namens „notepad“ (und überwachen Sie ihn auf Ausnahmen):

  C:\>procdump -e -w notepad
  

• Starten Sie einen Prozess namens „notepad“ (und überwachen Sie ihn auf Ausnahmen):

  C:\>procdump -e -x c:\dumps notepad
  

• Registrieren Sie sich für den Start, und versuchen Sie, eine Store-„Anwendung“ zu aktivieren. Beim Aktivieren wird eine neue ProcDump-Instanz gestartet:

  C:\>procdump -e -x c:\dumps Microsoft.BingMaps_8wekyb3d8bbwe!AppexMaps
  

• Registrieren Sie sich für den Start eines Store-„Pakets“. Beim (manuellen) Aktivieren wird eine neue ProcDump-Instanz gestartet:

  C:\>procdump -e -x c:\dumps Microsoft.BingMaps_1.2.0.136_x64__8wekyb3d8bbwe
  

• Schreiben Sie ein MiniPlus-Abbild des Microsoft Exchange-Informationsspeichers, wenn eine nicht behandelte Ausnahme vorliegt:

  C:\>procdump -mp -e store.exe
  

• Zeigen Sie die Ausnahmecodes/-namen von „w3wp.exe“ an, ohne ein Abbild zu schreiben:

  C:\>procdump -e 1 -f "" w3wp.exe
  

• Windows 7/8.0: Verwenden Sie Reflektion, um den Ausfall für fünf aufeinanderfolgende Trigger zu reduzieren:

  C:\>procdump -r -ma -n 5 -s 15 wmplayer.exe
  

• Windows 8.1 und höher: Verwenden Sie PSS, um den Ausfall für fünf gleichzeitige Trigger zu reduzieren:

  C:\>procdump -r 5 -ma -n 5 -s 15 wmplayer.exe
  

• Installieren Sie ProcDump als Postmortem-Debugger (AeDebug):

  C:\>procdump -ma -i c:\dumps
  

  … oder …

  C:\Dumps>procdump -ma -i
  

• Deinstallieren Sie ProcDump als Postmortem-Debugger (AeDebug):

  C:\>procdump -u
  

Lassen Sie sich eine Liste der Beispielbefehlszeilen anzeigen (die Beispiele sind oben aufgeführt):

C:\>procdump -? -e

Ähnliche Themen

• Buch: Windows Internals: Die offizielle Seite für Updates und Fehler für das umfassende Buch „Windows Internals“, von Mark Russinovich und David Solomon.
• Windows Sysinternals Administrator’s Reference: Der offizielle Leitfaden zu den Sysinternals-Hilfsprogramme von Mark Russinovich und Aaron Margosis, einschließlich Beschreibungen aller Tools, ihrer Funktionen, wie sie für die Problembehandlung verwendet werden können, und Beispiele für reale Anwendungsfälle.

ProcDump herunterladen (714 KB)

ProcDump für Linux herunterladen (GitHub)
ProcDump für Mac herunterladen (GitHub)

Läuft auf:

• Client: Windows 8.1 und höher.
• Server: Alle Windows Server 2012 (x64) und höher.

Weitere Informationen

• Defragmentierungstools: #9 – ProcDump In dieser Folge über Defragmentierungstools wird beschrieben, was das Tool erfasst und welche Ausfalldauer zu erwarten ist.
• Defragmentierungstools: #10 – ProcDump – Trigger In dieser Folge werden Triggeroptionen und insbesondere Ausnahmen (1. und 2. Chance) behandelt
• Defragmentierungstools: #11 – ProcDump – Windows 8 und Prozessmonitor In dieser Episode wird die Unterstützung moderner Anwendungen und der Prozessmonitorprotokollierung behandelt