Windows程序崩溃后留下的DMP文件，通常会保留异常发生时的一部分线程、寄存器、模块和内存状态。IDA Pro可以使用Windmp加载这类文件，也能结合WinDbg调试模块查看崩溃现场。不过DMP和普通EXE不太一样，它保存多少内容取决于转储生成方式。有些小型转储只留下基本上下文，没有完整栈内存，这时IDA即使正常打开文件，调用栈也可能只有一两层，甚至完全为空。排查时要把DMP本身的数据完整度、调试引擎和符号信息分开看。

　　一、IDA Pro怎么分析DMP文件

　　IDA支持Windows Crash Dump，可以直接用Windmp loader创建数据库。加载阶段有几个选项会影响进入数据库的内存范围，后面准备分析调用栈时，不宜只加载程序模块。

　　1、打开DMP并选择Windmp加载器

　　先确认IDA能够正确识别转储格式，再观察异常线程和模块信息是否存在。

　　①、启动【IDA Pro】。

　　②、点击【File】→【Open】。

　　③、选择需要分析的【.dmp文件】。

　　④、确认加载器为【Windmp】。

　　⑤、检查加载页面中的内存段选项。

　　⑥、开始创建分析数据库。

　　2、保留调用栈需要的内存

　　如果加载时只保留模块对应的段，线程栈所在内存可能不会进入数据库，后面就很难恢复完整调用关系。

　　①、重新打开【DMP文件】。

　　②、检查【Load modules segments only】是否启用。

　　③、需要查看崩溃现场时取消该限制。

　　④、检查【Skip segments greater than】的设置。

　　⑤、避免把分析需要的内存区域直接跳过。

　　⑥、重新完成DMP加载。

　　3、进入WinDbg调试环境查看现场

　　①、打开【Debugger】→【Switch debugger】。

　　②、选择【WinDbg debugger】。

　　③、启动当前DMP的调试环境。

　　④、打开【Threads】查看转储中的线程。

　　⑤、切换到发生异常的【Thread】。

　　⑥、打开【Stack Trace】查看调用关系。

　　IDA的Windmp加载器依赖Microsoft Debugger Engine。如果DMP能够打开，但WinDbg相关功能无法使用，还要检查dbgeng.dll对应的调试工具环境。

　　二、IDA Pro分析DMP时调用栈信息缺失如何检查

　　调用栈缺失不一定是IDA分析失败。DMP没有保存完整线程栈、加载时跳过了内存，或者异常线程没有选对，都可能得到类似结果。

　　1、先确认当前线程是不是异常线程

　　①、进入【Debugger】窗口。

　　②、打开【Thread list】。

　　③、查看各线程当前指令位置。

　　④、找到异常发生时对应的【Thread】。

　　⑤、切换该线程后重新打开【Stack Trace】。

　　⑥、比较其他线程的调用栈情况。

　　如果只有某一个线程为空，而其他线程能够正常显示，问题更可能和该线程保存的上下文有关。

　　2、检查DMP有没有保存栈内存

　　这是比较关键的一项。Minidump生成时保存的数据范围不同，缺失的内存无法靠IDA后续重新补回来。

　　①、在【Segments】窗口查看转储加载的内存区域。

　　②、根据当前线程寄存器找到【Stack Pointer】。

　　③、定位该地址附近的【Stack】内存。

　　④、确认对应地址是否已经映射到数据库。

　　⑤、地址不存在时检查DMP生成方式。

　　⑥、条件允许时重新采集包含线程栈内存的【Dump】。

　　3、检查Windmp加载设置

　　①、重新载入原始【DMP文件】。

　　②、查看Windmp加载选项。

　　③、关闭【Load modules segments only】。

　　④、取消可能影响目标区域的段跳过设置。

　　⑤、完成加载后重新进入【Stack Trace】。

　　4、补充模块符号信息

　　没有PDB时，调用地址可能仍然存在，只是显示成地址或无法还原成清楚的函数名称，所以“没有函数名”和“没有调用栈”要分开判断。

　　①、打开【Module list】。

　　②、找到调用栈涉及的目标【Module】。

　　③、右键选择【Load debug symbols】。

　　④、加载对应版本的【PDB文件】。

　　⑤、等待符号信息写入数据库。

　　⑥、重新查看【Stack Trace】。

　　三、IDA Pro DMP调用栈恢复后怎么继续确认

　　调用栈能够显示以后，还需要看看每一层是不是和崩溃位置能对应起来。经过编译优化的程序、栈已经被破坏的异常，以及缺少部分模块的转储，都可能让栈回溯出现中断。

　　1、从异常地址向上核对调用关系

　　①、记录异常线程当前【Instruction Pointer】。

　　②、双击【Stack Trace】中的调用项。

　　③、跳转到对应的【IDA View】地址。

　　④、检查附近的【call】指令和返回位置。

　　⑤、结合【Registers】查看当前参数和寄存器状态。

　　⑥、逐层核对崩溃路径。

　　2、保存补充后的分析数据库

　　①、保存当前【IDB】或【I64】数据库。

　　②、保留已经加载的【PDB】信息。

　　③、记录异常线程编号和崩溃地址。

　　④、保存关键【Stack Trace】结果。

　　⑤、后续重新分析时继续使用当前数据库。

　　总结

　　IDA Pro分析DMP时，调用栈能恢复到什么程度，很大程度上取决于崩溃当时到底保存了多少数据。遇到栈信息缺失，可以先确认异常线程，再看栈指针附近的内存有没有被写进DMP，同时检查Windmp加载时是否只保留了模块段。函数名称不全则更适合从PDB和模块符号入手。把这几个问题分开以后，通常能判断是IDA配置问题，还是原始DMP本身就没有留下足够的现场信息。