Windows bellek döküm dosyaları (Memory.dmp ve Minidump) — Adli Artefakt Başvurusu (Windows)

01Konum

Sistem bir çökme dökümü yazdı mı ve hangi döküm türü yapılandırılmıştı?
Döküm dosyası ne kadar bellek tutabilir: tam döküm mü, yoksa 64 KB'lık küçük döküm mü?
Sonraki bir döküm, daha öncekinin üzerine yazmış olabilir mi?

Biçim	Belgelenen beş çekirdek döküm ayarı vardır: tam bellek dökümü, çekirdek bellek dökümü, küçük bellek dökümü (64 KB), otomatik bellek dökümü ve etkin bellek dökümü.
Geçerli olduğu sürümler	Windows sistemleri. Döküm türü ve dosya yolları CrashControl kayıt değerlerinde tutulur; bunları incelenen sistemde doğrulayın.

Alan	Ne anlatır
DumpFile	CrashControl altındaki, bellek döküm dosyasını adlandıran değer; kaynakta %SystemRoot%\Memory.dmp olarak listelenir.
MinidumpDir	Küçük bellek döküm dosyalarının listesini tutan klasörü gösteren CrashControl değeri (%SystemRoot%\Minidump).
CrashDumpEnabled	Kayıt defteri değeri; kaynak 0x7 değerini otomatik bellek dökümüne eşler.

Dosya açılmadan ya da kopyalanmadan önce CrashControl değerlerini ve %SystemRoot% ile Minidump klasörlerinin dosya listesini okuyun.
Her döküm dosyasının özetini alın, boyutunu ve zaman damgalarını kaydedin; özgün dosyayı değiştirmeyin.
Döküm türünü dosya boyutuyla karşılaştırarak dosyanın ne kadar bellek tutabileceğini değerlendirin; 64 KB'lık küçük döküm çok sınırlı bir bölüm tutar.

Küçük bellek dökümü 64 KB'tır; sistemin bütün bellek durumunu temsil edemez.
Tam bellek dökümü en büyük türdür ve bir miktar kullanıcı modu belleği içerir; kaynak ne kadarını kapsadığını belirtmez.
Otomatik bellek dökümü kayıt defterinde bir değer olarak (0x7) görünür, ancak kaynak davranışını açıklamaz; bağlantılı belgelere bakın.
“Mevcut dosyanın üzerine yaz” ayarı önceki bir dökümün yerini alabilir; tek döküm olduğuna karar vermeden önce bu ayarı kontrol edin.