Comment lire un fichier DMP (vidage mémoire) ?

Tout utilisateur d'ordinateur connaît ce sentiment d'impuissance lors d'un plantage système. Les plantages surviennent sans avertissement, entraînant perte de productivité, frustration et parfois perte de travail.

Un « dump » est un instantané de l'état de l'ordinateur au moment du crash. Les fichiers dump sont générés automatiquement par Windows lors d'un plantage. Ils sont utilisés par les développeurs et utilisateurs avancés pour déterminer la cause. L'extension utilisée est .DMP.

Formats de fichier DMP

Windows génère trois types de vidages mémoire :

• Vidage mémoire complet : le plus gros, contient l'intégralité de la mémoire.
• Vidage mémoire du noyau : plus petit, n'enregistre que la mémoire du noyau (mémoire non allouée et mémoire utilisateur ignorées). Analyse plus facile.
• Petit vidage mémoire (minidump) : 64 Ko, contient seulement le message d'arrêt et ses paramètres, liste des pilotes chargés, contexte processeur (PRCB) du processeur arrêté, informations de processus et contexte noyau (EPROCESS), données de thread (ETHREAD) et pile d'appels noyau du thread arrêté.

Localiser un fichier DMP

Par défaut, les vidages complets et noyau sont écrits dans %SystemRoot%\Memory.dmp. Windows n'en conserve qu'un à la fois (écrasement au nouveau crash).

Les minidumps sont enregistrés dans %SystemRoot%\Minidump et ne sont pas écrasés. Leur nom inclut la date (ex. mini043014-01.dmp = 30 avril 2014, premier dump du jour).

Ouvrir et visualiser un fichier DMP

Deux outils principaux : Windows Debugging Tools (pour vidages complets et noyau) et Dump Check Utility (Dumpchk) (pour minidumps). Tous deux gratuits sur le site Microsoft (recherchez par nom).

Avec Windows Debugging Tools : ouvrez une invite de commande, allez dans le dossier d'installation, puis :
windbg -y SymbolPath -i ImagePath -z DumpFilePath (interface graphique)
ou
kd -y SymbolPath -i ImagePath -z DumpFilePath (interface texte).
SymbolPath = emplacement des symboles de débogage, ImagePath = emplacement des fichiers image, DumpFilePath = emplacement du fichier DMP.

Avec Dumpchk :
dumpchk DumpFilePath

Analyser le contenu d'un fichier DMP

Windows Debugging Tools offre des commandes utiles :
!analyze -show : code d'erreur Stop et paramètres (cause directe du crash).
!analyze -v : même info en mode verbeux.
lm N T : liste des modules chargés au moment du crash.

Dumpchk est plus simple : vérifie l'intégrité et affiche le dump. Pour tester les erreurs :
dumpchk -e DumpFilePath
Options : -v (verbeux), -p (en-tête seulement), -c (validation rapide).