在大型MEMORY.DMP文件中搜索字符串

Question

如何在Windows BSOD（Windows 8.1 64位）生成的大型MEMORY.DMP文件中搜索字符串？

在32位Windows上，命令

s -a 0 ffffffff "my pattern"

似乎有效。

但是对于64位Windows，

s -a 0 ffffffff`ffffffff "my pattern"

即使MEMORY.DMP的总大小只有大约400MB，它也几乎需要无限的时间，而简单的模板grep可以在几秒钟内找到该模式。

我的目标是找到字符串的虚拟地址，以确定哪个堆栈/堆/文本区域被其覆盖。

如果可以使用文件格式的参考或规范，我最终将手动解释MEMORY.DMP的文件格式。有什么提示吗？

Answer 1

目前我是这样做的：

1. !堆-a

这将提供如下所示的一些输出：

HEAPEXT: Unable to get address of ntdll!RtlpHeapInvalidBadAddress. Index   Address  Name      Debugging options enabled   1:   1b9be450000 
    Segment at 000001b9be450000 to 000001b9be54f000 (0008b000 bytes committed)   2:   1b9be1f0000 
    Segment at 000001b9be1f0000 to 000001b9be200000 (00001000 bytes committed)   3:   1b9bfe10000 
    Segment at 000001b9bfe10000 to 000001b9bfe1f000 (0000f000 bytes committed)
    Segment at 000001b9c3a40000 to 000001b9c3b3f000 (00005000 bytes committed)   4:   1b9be440000 
    Segment at 000001b9be440000 to 000001b9be44f000 (00007000 bytes committed)

2. 在每个段的起始地址和结束地址之间搜索，直到找到数据
3. 例如： s -a 000001b9be450000 000001b9be54f000“我的模式”

这可能并不适用于所有情况，但对我来说，它使我能够找到我正在寻找的数据。