Re: 完全内存转储64位系统如何如何查看32位进程的用户态栈

qstesiro 2015-05-21, 23:08 下午
抓取了一个64位的完全内存转储，想看看当时系统中一个进程的用户态栈，但是这个进程是32的位，无法看看到用户态的栈帧，有什么方法吗？

HiJack 2015-05-24, 05:40 上午
不知道 .effmach x86和 .load wow64exts能不能帮到你

qstesiro 2015-05-24, 19:42 下午
谢谢回复，这个我之前试过了，因为这个dump是完全的内存转储，当转到具体的进程并装载好用户态符号后，看到的也只有x64的栈，不知道是否还有其它的什么办法了；

CutlerMao 2015-09-20, 13:23 下午
你的64bit转储是用任务管理器抓的吧。可以尝试一下procdump -ma 进程id抓32位dump

风继续吹 2016-05-17, 23:50 下午
先执行.effmach查看一下是否是x86处理器模式，如果不是，则先执行.load wow64exts，再执行!sw命令即可。