极简ProcessDump（进程转储）编写实例

imbyter

什么是Dump？

我们可以把程序的执行状态通过工具提取保存到本地文件中，这个文件一般就叫做Dump文件，Dump文件是进程的内存镜像。Dump文件是用来给编程人员调试程序用的，这种文件只能用专用工具软件打开。

Dump的分类

Windows下Dump文件分为两大类，内核模式Dump和用户模式Dump。内核模式Dump是操作系统创建的崩溃转储，最经典的就是系统蓝屏，这时候会自动创建内核模式的Dump。用户模式Dump进一步可以分为完整Dump（Full Dump）和迷你Dump（Minidump）。完整Dump包含了某个进程完整的地址空间数据，以及许多用于调试的信息，而Minidump则有许多类型，根据需要可以包含不同的信息，有的可能只包含某个线程和部分模块的信息。在程序开发过程中出现的应用崩溃属于用户模式Dump。

Dump生成方式

操作系统自带方式
“任务管理器”->“进程”选项->右键要转储的进程->“创建转储文件”

编程自实现
指定要转储的进程PID，以命令行的方式运行，比如：>procdump.exe 1254（高权进程需要管理员权限）

#include <stdio.h>
#include <windows.h>
#include <Dbghelp.h>
#pragma comment(lib, "Dbghelp.lib")

bool EnableDebugPrivilege();

int main(int argc, char **argv) {
	DWORD PID = atoi(argv[1]);
	HANDLE hProc = NULL;
	HANDLE hFile = NULL;
	BOOL bSuccess = FALSE;

	if (EnableDebugPrivilege())
	{
		printf("EnableDebugPrivilege ok!\n");
	}
	else
	{
		printf("EnableDebugPrivilege failed!\n");
	}

	printf("Trying to dump PID: %d\n", PID);
	hProc = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, PID);
	printf("Process HANDLE 0x%p\n", hProc);

	if (hProc == NULL) {
		printf("HANDLE is NULL. Exiting (%ld)\n", GetLastError());
		ExitProcess(0);
	}

	hFile = CreateFileA(
		"memory.dmp", GENERIC_WRITE, 
		FILE_SHARE_WRITE, NULL, 
		CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL);
	printf("memory.dmp HANDLE 0x%p\n", hFile);

	if (hFile == INVALID_HANDLE_VALUE) {
		printf("Can't create memory.dmp. Exiting (%ld)\n", GetLastError());
		CloseHandle(hProc);
		ExitProcess(0);
	}

	bSuccess = MiniDumpWriteDump(
		hProc, PID, hFile, 
		/* MiniDumpNormal |*/ /*MiniDumpWithDataSegs | */MiniDumpWithFullMemory, 
		NULL, NULL, NULL);
	printf("Process Completed (%d)(%X)", (DWORD)bSuccess, GetLastError());

	CloseHandle(hProc);
	CloseHandle(hFile);
	return 0;
}

bool EnableDebugPrivilege()
{
	HANDLE hToken;
	LUID sedebugnameValue;
	TOKEN_PRIVILEGES tkp;

	if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
	{
		return false;
	}
	if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue))
	{
		return false;
	}

	tkp.PrivilegeCount = 1;
	tkp.Privileges[0].Luid = sedebugnameValue;
	tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

	// Enable the privilege or disable all privileges.  
	if (!AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof(tkp), NULL, NULL))
	{
		return false;
	}

	return true;
}