Определите хост по файлу дампа пользовательского режима Windows
-
01-07-2019 - |
Вопрос
Есть ли простой способ узнать имя хоста компьютера, который сгенерировал файл дампа пользовательского режима через WinDbg?
Или, по крайней мере, любая идентификационная информация, позволяющая попытаться подтвердить, что два файла дампа пришли из одной и той же системы.
Решение
Вы можете сделать это, проанализировав файл дампа пользователя с помощью WinDbg.Запустите программу !peb
выполните команду и найдите значение COMPUTERNAME
в его выходных данных.
Другие советы
Из debugger.chm:
Поиск имени компьютера в файле дампа режима ядра
Если вам нужно определить имя компьютера, на котором был создан аварийный дамп, вы можете использовать расширение !peb и искать значение COMPUTERNAME в его выходных данных.
Или вы можете использовать следующую команду:
0: kd> x srv!SrvComputerName
be8ce2e8 srv!SrvComputerName = _UNICODE_STRING "AIGM-MYCOMP-PUB01"
Поиск IP-адреса в файле дампа режима ядра
Чтобы определить IP-адрес компьютера, на котором был создан аварийный дамп, найдите стек потоков, который показывает некоторую сетевую активность при отправке / получении.Откройте один из отправленных пакетов или пакетов приема.IP-адрес будет виден в этом пакете.
Редактировать:Я отмечу, что в зависимости от того, как был создан файл дампа, информация PEB может быть недоступна, и поэтому вы не будете всегда быть в состоянии найти имя компьютера.В частности, если что-то поступало через сайт Microsoft Winqual, оно было очищено.
Использование ярлыка для переменных среды в PEB:!envvar ИМЯ_КОМПЬЮТЕРА
Для получения списка IP-адресов:
3:kd> du poi(poi(srvnet!SrvAdminIpAddressList))
ffffe001d3d58450 "127.0.0.1"
3: kd> du
d3d58464 "::1"
ffffe001
3:кд>
ffffe001d3d5846c "169.254.66.248"
d3d5848a ""
3: kd>
ffffe001
3:кд>
ffffe001d3d5848c "fe80::f0cb:5439:f12f:42f8"
d3d584c0 ""
3: kd>
ffffe001
3:kd>
ffffe001d3d584c2 "192.168.104.249"
3: kd>
ffffe001
d3d584e2 ""
3:кд>
ffffe001'd3d584e4 "fe80:: fc6f: ae16: b336: 83dc"
3:кд>
Как в ядре, так и в пользовательском режиме,
10: kd> !envvar COMPUTERNAME
COMPUTERNAME = a-host-name
Извлекает имя компьютера, также известное как имя хоста целевого компьютера.
Это требует EXTS.dll
расширение, которое будет загружено, и Windows XP+ (W10 RS3 на момент написания статьи).
В режиме ядра это не работает напрямую, !envvar
вернется пустым
10: kd> !peb
PEB NULL...
Ваш текущий контекст - это незанятый поток.
WinDbg (Windows 10 RS3 16299.15 SDK) справка для !process
перечислены только биты 0-4, однако я обнаружил, что бит 5 сбрасывает всю среду при использовании с 0 и 4.Флаги = 0b110001
.Поэтому я использую это во время запуска скрипта WinDbg для автоматического ввода имени компьютера.
!process 0 0x31 wininit.exe
Выгрузит все переменные среды:
10: kd> !process 0 0x31 wininit.exe
PROCESS ffffc485c82655c0
SessionId: 0 Cid: 02d0 Peb: 8d04c6b000 ParentCid: 0258
DirBase: 40452f000 ObjectTable: ffffe30b1150fb40 HandleCount: 163.
Image: wininit.exe
VadRoot ffffc485c862b990 Vads 61 Clone 0 Private 326. Modified 12. Locked 2.
DeviceMap ffffe30b0a817880
Token ffffe30b1150f060
ElapsedTime 00:00:18.541
UserTime 00:00:00.000
KernelTime 00:00:00.015
QuotaPoolUsage[PagedPool] 121696
QuotaPoolUsage[NonPagedPool] 11448
Working Set Sizes (now,min,max) (1750, 50, 345) (7000KB, 200KB, 1380KB)
PeakWorkingSetSize 1697
VirtualSize 2097239 Mb
PeakVirtualSize 2097239 Mb
PageFaultCount 2104
MemoryPriority BACKGROUND
BasePriority 13
CommitCharge 470
PEB at 0000008d04c6b000
InheritedAddressSpace: No
ReadImageFileExecOptions: No
BeingDebugged: No
ImageBaseAddress: 00007ff7be3d0000
Ldr 00007ff8dff4f3a0
Ldr.Initialized: Yes
Ldr.InInitializationOrderModuleList: 000001be470e1c10 . 000001be47128d60
Ldr.InLoadOrderModuleList: 000001be470e1d80 . 000001be47128d40
Ldr.InMemoryOrderModuleList: 000001be470e1d90 . 000001be47128d50
Base TimeStamp Module
7ff7be3d0000 600d94df Jan 24 10:40:15 2021 C:\Windows\system32\wininit.exe
7ff8dfdf0000 493793ea Dec 04 03:25:14 2008 C:\Windows\SYSTEM32\ntdll.dll
...
SubSystemData: 0000000000000000
ProcessHeap: 000001be470e0000
ProcessParameters: 000001be470e1460
CurrentDirectory: 'C:\Windows\system32\'
WindowTitle: '< Name not readable >'
ImageFile: 'C:\Windows\system32\wininit.exe'
CommandLine: 'wininit.exe'
DllPath: '< Name not readable >'
Environment: 000001be47104460
ALLUSERSPROFILE=C:\ProgramData
CommonProgramFiles=C:\Program Files\Common Files
CommonProgramFiles(x86)=C:\Program Files (x86)\Common Files
CommonProgramW6432=C:\Program Files\Common Files
COMPUTERNAME=a-host-name
ComSpec=C:\Windows\system32\cmd.exe
NUMBER_OF_PROCESSORS=16
OS=Windows_NT
Path=C:\Windows\system32;C:\Windows;C:\Windows\System32\Wbem;C:\Windows\System32\WindowsPowerShell\v1.0\
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
PROCESSOR_ARCHITECTURE=AMD64
PROCESSOR_IDENTIFIER=AMD64 Family 23 Model 1 Stepping 1, AuthenticAMD
PROCESSOR_LEVEL=23
PROCESSOR_REVISION=0101
ProgramData=C:\ProgramData
ProgramFiles=C:\Program Files
ProgramFiles(x86)=C:\Program Files (x86)
ProgramW6432=C:\Program Files
PSModulePath=%ProgramFiles%\WindowsPowerShell\Modules;C:\Windows\system32\WindowsPowerShell\v1.0\Modules
PUBLIC=C:\Users\Public
SystemDrive=C:
SystemRoot=C:\Windows
TEMP=C:\temp
TMP=C:\temp
USERNAME=SYSTEM
USERPROFILE=C:\Windows\system32\config\systemprofile
windir=C:\Windows
Вы можете нажать на ссылку PEB dml или переключить контекст с помощью .process /p <PROCESS_ADDRESS>
, тогда !envvar COMPUTERNAME
это тоже сработало бы.