debugging - ProcDump是如何实现的？它本质上是一个调试器吗？

Question

我对 ProcDump 的内部结构感兴趣(Sysinternals 实用程序):它本质上是一个调试器吗？它如何设法转储异常、首次机会异常甚至托管 (CLR) 异常的进程？

我可以看到它从 kernel32.dll 导入了诸如 DebugActiveProcess 之类的内容。它的字符串还包含 CLR 库的名称，因此我假设它动态加载它们以利用 CLR 调试 API(尽管我在字符串中没有看到 mscordbi.dll - 应该吗？)。

Answer 1

在使用 IDA Pro 查看 ProcDump 后，我将尝试对自己的问题给出一个基本答案。

至少对于非托管端，ProcDump 似乎利用了 Win32 调试 API:它使用 DebugActiveProcess 以及 WaitForDebugEvent 和 ContinuousDebugEvent 的调试循环。然后，根据启动参数，它可以例如检查异常并将 ReadProcessMemory 中的内容转储到 IO 设备中。