windbg/sos - savemodule - Fail to read memory
윈도우가 기본 제공하는 메모리 덤프 기능은 닷넷 응용 프로그램을 디버깅하는 데는 좀 아쉬운 부분이 있습니다. 실제로 그런 경우 sos.dll이 로드되면서 몇몇 명령어가 동작하지 않을 것이라는 메시지를 보게 됩니다.
0:000> .cordll -ve -u -l
CLRDLL: Unable to get version info for 'e:\symbols\clr.dll\5B175F449a0000\mscordacwks.dll', Win32 error 0n87
CLRDLL: Loaded DLL e:\symbols\mscordacwks_AMD64_AMD64_4.0.30319.36450.dll\5B175F449a0000\mscordacwks_AMD64_AMD64_4.0.30319.36450.dll
----------------------------------------------------------------------------
The user dump currently examined is a minidump. Consequently, only a subset
of sos.dll functionality will be available. If needed, attaching to the live
process or debugging a full dump will allow access to sos.dll's full feature
set.
To create a full user dump use the command: .dump /ma <filename>
----------------------------------------------------------------------------
Automatically loaded SOS Extension
CLR DLL status: Loaded DLL e:\symbols\mscordacwks_AMD64_AMD64_4.0.30319.36450.dll\5B175F449a0000\mscordacwks_AMD64_AMD64_4.0.30319.36450.dll
단적인 예로, 대부분의 경우 윈도우가 제공하는 hdmp로부터는 savemodule 명령어가 실패하게 됩니다.
0:000> lm m Test*
Browse full module list
start end module name
00000071`04510000 00000071`0454c000 Test_DLL (deferred)
0:000> !savemodule 00000071`04510000 F:\temp\Test.dll
3 sections in file
section 0 - VA=2000, VASize=35080, FileAddr=200, FileSize=35200
section 1 - VA=38000, VASize=430, FileAddr=35400, FileSize=600
section 2 - VA=3a000, VASize=c, FileAddr=35a00, FileSize=200
Fail to read memory
이외에도 PDB 파일이 없는 경우의 호출에 대해서는 함수 이름을 풀이하지 못하고 Unknown으로 보여주게 됩니다.
0:000> !clrstack
OS Thread Id: 0x16d8 (20)
Child SP IP Call Site
// ...[생략]...
00000072a0005440 00007eccc2c21cc3 Test_DLL.dll!Unknown
00000072a0005480 00007eccc2c21a28 Test_DLL.dll!Unknown
00000072a0005510 00007eccc288f00b Test_DLL.dll!Unknown
00000072a00055c0 00007eccc28a26fa Test_DLL.dll!Unknown
// ...[생략]...
00000072a000ee98 00007ecd2048a533 [GCFrame: 00000072a000ee98]
00000072a000f068 00007ecd2048a533 [DebuggerU2MCatchHandlerFrame: 00000072a000f068]
따라서, 위와 같은 제약이 있어 분석이 제대로 안 될 때는, 할 수 없이
procdump를 이용해 다시 덤프를 받아야 합니다.
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]