Microsoft MVP성태의 닷넷 이야기
디버깅 기술: 169. Hyper-V의 VM에 대한 메모리 덤프를 뜨는 방법 [링크 복사], [링크+제목 복사]
조회: 869
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

Hyper-V의 VM에 대한 메모리 덤프를 뜨는 방법

아래의 글을 읽어 보면,

윈도우즈 룻킷 - 윈도우즈 디펜더 무력화
; https://learn.darungrim.com/contents/windows10-rootkits-disabling-windows-defender.html

VMWare의 VM에 대한 메모리 덤프를 Vmss2core라는 도구를 이용해 뜨는 방법이 나옵니다. 왠지 Hyper-V도 제공할 거라는 ^^ 추측으로 검색해 보니 다음의 글이 나옵니다.

Collect Memory dump from virtual machine hosted in Hyper-V
; https://knowledge.broadcom.com/external/article/184806/collect-memory-dump-from-virtual-machine.html

Use LiveKD to get dump out of VM
; https://windowsprivatecloud.wordpress.com/about/use-livekd-to-get-dump-out-of-vm/

즉, 다음과 같은 형식으로 livekd를 이용해 VM의 덤프를 뜰 수 있는 것인데,

livekd -hv <vmname> -p -o C:\Memory.dmp

예를 들어, 이름이 windows2019인 VM의 덤프를 뜨려면 다음과 같이 실행하면 됩니다.

C:\WINDOWS\system32> livekd -hv windows2019 -p -o c:\temp\memory.dmp

LiveKd v5.63 - Execute kd/windbg on a live system
Sysinternals - www.sysinternals.com
Copyright (C) 2000-2020 Mark Russinovich and Ken Johnson

Unexpected failure from VidGetPartitionIds.
Writing c:\temp\memory.dmp: 02%

그럼, 해당 VM은 VM paused 상태로 바뀌고, (제 테스트 환경이 좀 느리긴 하지만) 무려 33분 정도가 걸려 4GB 메모리 덤프를 마치게 됩니다. 현실적인 이유로 봤을 때, 아주 특별한 상황이 아니고서는 쓸 일이 별로 없을 것 같습니다. ^^;




검색해 보면, PowerShell의 Debug-VM 명령어도 나옵니다.

Advanced troubleshooting for Windows-based computer freeze issues
; https://docs.microsoft.com/ko-kr/windows/client-management/troubleshoot-windows-freeze#use-memory-dump-to-collect-data-for-the-virtual-machine-thats-running-in-a-frozen-state

다른 점이라면 대상 VM을 아예 BSOD를 발생시켜 덤프를 뜨게 만드는 것인데, 다음과 같이 실행해 보면,

PS C:\WINDOWS\system32> Debug-VM -Name "windows2019" -InjectNonMaskableInterrupt

(시스템을 다운시키는 것이므로) 질문을 한번 받게 되고,

Are you sure you want to inject a non-maskable interrupt into the virtual machine "windows2019"?

yes를 선택하면 "NMI HARDWARE FAILURE" 예외를 발생시켜 "C:\Windows\MEMORY.DMP" 파일로 덤프를 남기며 재부팅이 됩니다. 이때의 이벤트 로그에는 다음과 같은 메시지가 남게 됩니다.

로그 이름:         System
원본:            Microsoft-Windows-WER-SystemErrorReporting
날짜:            2020-07-14 오후 1:15:12
이벤트 ID:        1001
작업 범주:         없음
수준:            오류
키워드:           클래식
사용자:           해당 없음
컴퓨터:           windows2019.testad.com
설명:
컴퓨터가 오류 검사 후 다시 부팅되었습니다. 오류 검사: 0x00000080 (0x00000000004f4454, 0x0000000000000000, 0x0000000000000000, 0x0000000000000000). 덤프 저장 위치: C:\Windows\MEMORY.DMP. 보고서 ID: eaa12cd2-c8f0-455e-be62-e44fbff10240




참고로, livekd를 실행했을 때 이런 오류가 발생한다면?

C:\WINDOWS\system32> livekd -hv windows2019 -p -o c:\temp\memory.dmp

LiveKd v5.3 - Execute kd/windbg on a live system
Sysinternals - www.sysinternals.com
Copyright (C) 2000-2012 Mark Russinovich and Ken Johnson

Unexpected failure from VidGetPartitionIds.
Invalid Hyper-V VM: windows2019
Specify the GUID or VM name of a running VM.
Use LiveKd -hvl to list running VMs.

C:\WINDOWS\system32> livekd -hvl

LiveKd v5.3 - Execute kd/windbg on a live system
Sysinternals - www.sysinternals.com
Copyright (C) 2000-2012 Mark Russinovich and Ken Johnson

Unexpected failure from VidGetPartitionIds.
Unable to list active Hyper-V partitions: Error 31.
In order to perform Hyper-V VM debugging, this machine must have the Hyper-V role installed and active.

livekd를 최신 버전(5.63)으로 업데이트하시면 됩니다. 정상적으로 지원하기 시작하는 livekd라면 -hvl 옵션에서 다음과 같은 식의 VM 목록을 출력하게 될 것입니다.

C:\WINDOWS\system32> livekd -hvl

LiveKd v5.63 - Execute kd/windbg on a live system
Sysinternals - www.sysinternals.com
Copyright (C) 2000-2020 Mark Russinovich and Ken Johnson

Partition GUID                         Name
902490AE-DA6C-4472-89E8-3F5A03BBDC87   win7
75DB36E8-F90D-4462-9EF2-6BAE20CDCDF5   win8
1AB47C73-1FB6-426E-AE80-EBF774483290   win10

또는, 실행시 다음과 같은 오류 메시지를 뱉는 경우도 있을 것입니다.

C:\WINDOWS\system32> livekd -hv windows2019 -p -o c:\temp\memory.dmp

LiveKd v5.63 - Execute kd/windbg on a live system
Sysinternals - www.sysinternals.com
Copyright (C) 2000-2020 Mark Russinovich and Ken Johnson

Unexpected failure from VidGetPartitionIds.
Error finding kd.exe:
The system cannot find the file specified.

오류 내용을 잘 보면, windbg의 kd.exe를 찾지 못해 발생하는 것이므로 PATH에 windbg의 경로를 걸어준 후 실행하면 됩니다.

C:\WINDOWS\system32> set PATH=C:\Program Files (x86)\Windows Kits\8.1\Debuggers\x64;%PATH%

// set PATH=C:\Program Files (x86)\Windows Kits\10\Debuggers\x64;%PATH%

C:\WINDOWS\system32> livekd -hv windows2019 -p -o c:\temp\memory.dmp

그러니까 결국, Sysinternals의 livekd.exe와 windbg의 kd.exe가 함께 필요한 것입니다.




좀 더 검색해 보면, vm2dmp라는 도구도 찾을 수 있을 것입니다.

WindowsDiag/SHA/vm2dmp/
; https://github.com/CSS-Windows/WindowsDiag/tree/master/SHA/vm2dmp

Microsoft Hyper-V VM State to Memory Dump Converter
; https://docs.microsoft.com/en-us/archive/blogs/hugofe/microsoft-hyper-v-vm-state-to-memory-dump-converter

VM2DMP - Hyper-V (tm) VM State to Memory Dump Converter
; https://docs.microsoft.com/en-us/archive/blogs/virtualworld/vm2dmp-hyper-v-tm-vm-state-to-memory-dump-converter

하지만 아쉽게 이 도구는 현재 deprecated 상태라고 봐야 할 것입니다.

However, this tool works only on files created with Hyper-V Version 1 & 2 (Hyper-V/Windows Server 2008 & R2). When snapshots or saved states created on Hyper-V 2012 or 2012 R2 are tried being converted, the tool will fail.

그렇긴 한데, 배포본을 보면 2016과 2019에 대한 지원을 하는 듯 보여서,

vm2dmp_HYPER-V2016.zip
vm2dmp_HYPER-V2019.zip

실행해 봤지만 (어떻게 시도해봐도 ^^;) 오류가 발생합니다. (혹시, 2016/2019에서 vm2dmp로 성공하신 분은 덧글 부탁드립니다. ^^)

C:\vm2dmp\Debuggers\x64> vm2dmp.exe -vmrs C:\TESTVM\windows2019\Snapshots\730379DE-CF77-44DF-A802-3026F6438C5C.VMRS -dmp c:\temp\memory2.dmp
VM2DMP: Hyper-V VM State to Memory Dump Converter (version 3.0.0.0)

ERROR: Library C:\WINDOWS\SYSTEM32\symsrv.dll could not be found in the same directory as loaded library dbghelp.dll. hr = 0x80070003.
ERROR: You need to have vm2dmp.exe in Debugging Tools for Windows installation folder or have dbghelp.dll and symsrv.dll in the same working directory as vm2dmp.exe.
'
ERROR: Result code 0x3

C:\vm2dmp\Debuggers\x64> vm2dmp.exe -vmrs "C:\TESTVM\windows2019\Snapshots\730379DE-CF77-44DF-A802-3026F6438C5C.VMRS" -dmp "c:\temp\memory2.dmp"
VM2DMP: Hyper-V VM State to Memory Dump Converter (version 3.0.0.0)

INFO: Using VMRS file C:\TESTVM\windows2019\Snapshots\730379DE-CF77-44DF-A802-3026F6438C5C.vmrs

ERROR: Result code 0x2

C:\vm2dmp\Debuggers\x64> vm2dmp -vm "windows2019" -snap "windows2019-snap" -dmp "c:\temp\memory2.dmp"
VM2DMP: Hyper-V VM State to Memory Dump Converter (version 3.0.0.0)

ERROR: Result code 0x80004005

C:\vm2dmp\Debuggers\x64> vm2dmp -vm "windows2019" -snap "windows2019 - (2020-07-14 - 오후 2:48:10)" -dmp "c:\temp\memory2.dmp"
VM2DMP: Hyper-V VM State to Memory Dump Converter (version 3.0.0.0)

INFO: Using VMRS file C:\TESTVM\windows2019\Snapshots\46CE2553-6F58-4FCA-91A4-5199DA49CB61.vmrs

ERROR: Result code 0x2

C:\vm2dmp\Debuggers\x64> vm2dmp -vmrs "C:\TESTVM\windows2019\Virtual Machines\044EADA9-7BAA-4B19-AA54-4347E3D1FB38.VMRS" -dmp "c:\temp\memory2.dmp"
VM2DMP: Hyper-V VM State to Memory Dump Converter (version 3.0.0.0)

INFO: Using VMRS file C:\TESTVM\windows2019\Virtual Machines\044EADA9-7BAA-4B19-AA54-4347E3D1FB38.VMRS

ERROR: Result code 0x2




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 8/26/2020 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12382정성태11/13/2020426오류 유형: 671. dotnet build - The local source '...' doesn't exist
12381정성태10/26/2020479VC++: 137. C++ stl map의 사용자 정의 타입을 key로 사용하는 방법파일 다운로드1
12380정성태10/26/2020296오류 유형: 670. Visual Studio - Squash_FailureCommitsReset
12379정성태10/26/2020566.NET Framework: 955. .NET 메서드의 Signature 바이트 코드 분석파일 다운로드2
12378정성태10/20/2020610.NET Framework: 954. C# - x86/x64 환경에 따라 달라지는 P/Invoke 함수의 export 이름파일 다운로드1
12377정성태10/29/2020653디버깅 기술: 172. windbg - 파일 열기 시점에 bp를 걸어 파일명 알아내는 방법(Managed/Unmanaged)
12376정성태10/15/2020418오류 유형: 669. windbg - sos의 name2ee 명령어 실행 시 "Failed to request module list." 오류
12375정성태10/15/2020749Windows: 177. 윈도우 탐색기에서 띄우는 cmd.exe 창의 디렉터리 구분 문자가 'Yen(&#0165;)' 기호로 나오는 경우 [1]
12374정성태11/22/2020878.NET Framework: 953. C# 9.0 - (6) 함수 포인터(Function pointers) [1]파일 다운로드2
12373정성태10/14/2020434.NET Framework: 952. OpCodes.Box와 관련해 IL 형식으로 직접 코딩 시 유의할 점
12372정성태11/22/2020700.NET Framework: 951. C# 9.0 - (5) 로컬 함수에 특성 지정 가능(Attributes on local functions)파일 다운로드1
12371정성태10/13/2020339개발 환경 구성: 519. Visual Studio의 Ctrl+Shift+U (Edit.MakeUppercase) 단축키가 동작하지 않는 경우
12370정성태10/13/2020489Linux: 33. Linux - nmcli를 이용한 고정 IP 설정
12369정성태10/21/20201563Windows: 176. Raymond Chen이 한글날에 밝히는 윈도우의 한글 자모 분리 현상 [1]
12368정성태10/12/2020429오류 유형: 668. VSIX 확장 빌드 - The "GetDeploymentPathFromVsixManifest" task failed unexpectedly.
12367정성태10/12/2020527오류 유형: 667. Ubuntu - Temporary failure resolving 'kr.archive.ubuntu.com'
12366정성태11/22/2020680.NET Framework: 950. C# 9.0 - (4) 원시 크기 정수(Native ints) [1]파일 다운로드1
12365정성태11/22/2020613.NET Framework: 949. C# 9.0 - (3) 람다 메서드의 매개 변수 무시(Lambda discard parameters)파일 다운로드1
12364정성태11/22/2020743.NET Framework: 948. C# 9.0 - (2) localsinit 플래그 내보내기 무시(Suppress emitting localsinit flag)파일 다운로드1
12363정성태11/22/20201156.NET Framework: 947. C# 9.0 - (1) 대상으로 형식화된 new 식(Target-typed new expressions) [2]파일 다운로드1
12362정성태10/11/2020474VS.NET IDE: 151. Visual Studio 2019에 .NET 5 rc/preview 적용하는 방법
12361정성태10/19/2020758.NET Framework: 946. C# 9.0을 위한 개발 환경 구성
12360정성태10/8/2020334오류 유형: 666. The type or namespace name '...' does not exist in the namespace 'Microsoft.VisualStudio.TestTools' (are you missing an assembly reference?)
12359정성태10/7/2020523오류 유형: 665. Windows - 재부팅 후 iSCSI 연결이 끊기는 문제
12358정성태10/7/2020429오류 유형: 664. Web Deploy 설치 시 "A newer version of Microsoft Web Deploy 3.6 was found on this machine." 오류
12357정성태10/7/2020381오류 유형: 663. 이벤트 로그 - The storage optimizer couldn't complete retrim on New Volume
1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...