Partilhar via

!process

  • Artigo

A extensão !process mostra informações sobre o processo especificado ou sobre todos os processos, incluindo o bloco EPROCESS.

Esta extensão pode ser usada somente durante a depuração no modo kernel.

Sintaxe

!process [/s Session] [/m Module] [Process [Flags]]
!process [/s Session] [/m Module] 0 Flags ImageName

Parâmetros

/s **** Session
Especifica a sessão que possui o processo desejado.

/m **** Module
Especifica o módulo que possui o processo desejado.

Processo
Especifica o endereço hexadecimal ou o ID do processo no computador de destino.

O valor de Process determina se a extensão !process exibe um endereço de processo ou ID do processo. Se o Process for omitido em qualquer versão do Windows, o depurador mostrará os dados somente sobre o processo atual do sistema. Se Process for 0 e ImageName for omitido, o depurador mostrará informações sobre todos os processos ativos. Se -1 for especificado para Process, serão mostradas as informações sobre o processo atual.

Sinalizadores
Especifica o nível de detalhes a serem exibidos. Flags podem ser qualquer combinação dos bits a seguir. Se Flags for 0, somente uma quantidade mínima de informações será exibida. O padrão varia com a versão do Windows e o valor do Process. O padrão é 0x3 se Process for omitido ou se Process for 0 ou -1. Caso contrário, o padrão será 0xF.

Bit 0 (0x1)
Mostra estatísticas de tempo e prioridade.

Bit 1 (0x2)
Mostra uma lista de threads e eventos associados ao processo e seus estados de espera.

Bit 2 (0x4)
Mostra uma lista de threads associados ao processo. Se isso for incluído sem o Bit 1 (0x2), cada thread aparecerá em uma única linha. Se isso for incluído com o Bit 1, cada thread aparecerá com um rastreamento de pilha.

Bit 3 (0x8)
Mostra o endereço de retorno e o ponteiro de pilha para cada função. A exibição de argumentos de função é suprimida.

Bit 4 (0x10)
Define o contexto do processo igual ao processo especificado na duração deste comando. Isso resulta na exibição mais precisa das pilhas de threads. Como esse sinalizador é equivalente ao uso de .process /p /r para o processo especificado, qualquer lista de módulos de modo de usuário que já existir será descartada. Se Process for zero, o depurador mostrará todos os processos e o contexto do processo será alterado para cada um. Se você estiver exibindo somente um único processo e seu estado de modo de usuário já tiver sido atualizado (por exemplo, com .process /p /r), não será preciso usar esse sinalizador. Esse sinalizador só é efetivo quando é usado com o Bit 0 (0x1).

ImageName
Especifica o nome do processo a ser exibido. O depurador mostra todos os processos cujos nomes de imagem executáveis correspondem a ImageName. O nome da imagem deve corresponder ao nome do bloco EPROCESS. Em geral, esse é o nome executável que foi chamado para iniciar o processo, incluindo a extensão de arquivo (normalmente .exe) e truncado após o décimo quinto caractere. Não é possível especificar um nome de imagem que contenha um espaço. Quando ImageName for especificado, Process deverá ser zero.

DLL

Kdexts.dll

Informações Adicionais

Para obter informações sobre processos no modo kernel, confira Alterando contextos. Para obter mais informações sobre como analisar processos e threads, confira o livro Microsoft Windows Internals de Mark Russinovich e David Solomon.

Comentários

Veja a seguir um exemplo de exibição de um !process 0 0:

kd> !process 0 0
**** NT ACTIVE PROCESS DUMP ****
PROCESS 80a02a60  Cid: 0002    Peb: 00000000  ParentCid: 0000
    DirBase: 00006e05  ObjectTable: 80a03788  TableSize: 150.
    Image: System
PROCESS 80986f40  Cid: 0012    Peb: 7ffde000  ParentCid: 0002
    DirBase: 000bd605  ObjectTable: 8098fce8  TableSize:  38.
    Image: smss.exe
PROCESS 80958020  Cid: 001a    Peb: 7ffde000  ParentCid: 0012
    DirBase: 0008b205  ObjectTable: 809782a8  TableSize: 150.
    Image: csrss.exe
PROCESS 80955040  Cid: 0020    Peb: 7ffde000  ParentCid: 0012
    DirBase: 00112005  ObjectTable: 80955ce8  TableSize:  54.
    Image: winlogon.exe
PROCESS 8094fce0  Cid: 0026    Peb: 7ffde000  ParentCid: 0020
    DirBase: 00055005  ObjectTable: 80950cc8  TableSize: 222.
    Image: services.exe
PROCESS 8094c020  Cid: 0029    Peb: 7ffde000  ParentCid: 0020
    DirBase: 000c4605  ObjectTable: 80990fe8  TableSize: 110.
    Image: lsass.exe
PROCESS 809258e0  Cid: 0044    Peb: 7ffde000  ParentCid: 0026
    DirBase: 001e5405  ObjectTable: 80925c68  TableSize:  70.
    Image: SPOOLSS.EXE

A tabela a seguir descreve alguns dos elementos da saída !process 0 0.

Element Significado

Endereço do processo

O número hexadecimal de oito caracteres depois da palavra PROCESS é o endereço do bloco EPROCESS. Na entrada final do exemplo anterior, o endereço do processo é 0x809258E0.

ID de processo (PID)

O número hexadecimal depois da palavra Cid. Na entrada final no exemplo anterior, o PID é 0x44 ou decimal 68.

Bloco de ambiente de processo (PEB)

O número hexadecimal depois da palavra Peb é o endereço do bloco de ambiente de processo. Na entrada final do exemplo anterior, o PEB fica no endereço 0x7FFDE000.

Processo Pai PID

O número hexadecimal depois da palavra ParentCid é o PID do processo pai. Na entrada final do exemplo anterior, o PID do processo pai é 0x26 ou decimal 38.

Imagem

O nome do módulo que é o proprietário do processo. Na entrada final no exemplo anterior, o proprietário é spoolss.exe. Na primeira entrada, o proprietário é o sistema operacional em si.

Endereço do objeto do processo

O número hexadecimal depois da palavra ObjectTable. Na entrada final no exemplo anterior, o endereço do objeto do processo é 0x80925c68.

Para ver detalhes completos sobre um processo, defina Sinalizadores como 7. O processo em si pode ser especificado definindo Process igual ao endereço do processo, configurando Process igual ao ID do processo ou configuração ImageName igual ao nome da imagem executável. Este é um exemplo:

kd> !process fb667a00 7
PROCESS fb667a00 Cid: 0002  Peb: 00000000 ParentCid: 0000
  DirBase: 00030000 ObjectTable: e1000f88 TableSize: 112.
  Image: System
  VadRoot fb666388 Clone 0 Private 4. Modified 9850. Locked 0.
  FB667BBC MutantState Signalled OwningThread 0
  Token               e10008f0
  ElapsedTime            15:06:36.0338
  UserTime             0:00:00.0000
  KernelTime            0:00:54.0818
  QuotaPoolUsage[PagedPool]     1480
Working Set Sizes (now,min,max) (3, 50, 345)
  PeakWorkingSetSize        118
  VirtualSize            1 Mb
  PeakVirtualSize          1 Mb
  PageFaultCount          992
  MemoryPriority          BACKGROUND
  BasePriority           8
  CommitCharge           8

    THREAD fb667780 Cid 2.1 Teb: 00000000 Win32Thread: 80144900 WAIT: (WrFreePage) KernelMode Non-Alertable
    80144fc0 SynchronizationEvent
    Not impersonating
    Owning Process fb667a00
    WaitTime (seconds)   32278
    Context Switch Count  787
    UserTime         0:00:00.0000
    KernelTime        0:00:21.0821
    Start Address Phase1Initialization (0x801aab44)
    Initial Sp fb26f000 Current Sp fb26ed00
    Priority 0 BasePriority 0 PriorityDecrement 0 DecrementCount 0

    ChildEBP RetAddr Args to Child
    fb26ed18 80118efc c0502000 804044b0 00000000 KiSwapThread+0xb5
    fb26ed3c 801289d9 80144fc0 00000008 00000000 KeWaitForSingleObject+0x1c2

Veja que o endereço do objeto de processo pode ser usado como entrada para outras extensões, como !handle, para obter mais informações.

A tabela a seguir aborda alguns dos elementos no exemplo anterior.

Element Significado
COM TEMPO O comentário entre parênteses depois deste título dá o motivo da espera. O comando dt nt!_KWAIT_REASON exibirá uma lista de todos os motivos de espera.

ElapsedTime

Lista a quantidade de tempo passado desde que o processo foi criado. Isso aparece em unidades de Horas:Minutos:Segundos.Milésimos de segundo.

UserTime

Lista a duração da execução do processo no modo de usuário. Se o valor para UserTime for excepcionalmente alto, ele poderá identificar um processo que está esgotando os recursos do sistema. As unidades são as mesmas de ElapsedTime.

KernelTime

Lista a duração da execução do processo no modo kernel. Se o valor para KernelTime for excepcionalmente alto, ele poderá identificar um processo que está esgotando os recursos do sistema. As unidades são as mesmas de ElapsedTime.

Tamanhos do conjunto de trabalho

Lista o tamanho presente, mínimo e máximo do conjunto de trabalho para o processo, em páginas. Um tamanho de conjunto de trabalho excepcionalmente grande pode ser um sinal de que um processo está vazando memória ou esgotando os recursos do sistema.

Entradas QuotaPoolUsage

Lista o pool paginado e não paginado utilizado pelo processo. Em um sistema com um vazamento de memória, buscar o uso excessivo de pool não paginado em todos os processos pode dizer qual processo tem o vazamento de memória.

Clone

Indica se o processo foi ou não foi criado pelos subsistemas POSIX ou Interix.

Privados

Indica o número de páginas privadas (não compartilháveis) que estão sendo utilizadas atualmente pelo processo. Isso inclui a memória paginada e paginada.

Além das informações da lista de processos, as informações de thread contêm uma lista dos recursos em que o thread tem bloqueios. Estas informações são listadas na terceira linha de saída depois do cabeçalho do thread. Neste exemplo, o thread tem um bloqueio em um recurso, um SynchronizationEvent com endereço de 80144fc0. Comparando esse endereço com a lista de bloqueios mostrada pela extensão !kdext*.locks, você pode determinar quais threads têm bloqueios exclusivos em recursos.

A extensão !stacks fornece um breve resumo do estado de cada thread. Isso pode ser usado em vez da extensão !process para obter uma visão geral rápida do sistema, especialmente ao depurar problemas multithread, como conflitos de recursos ou deadlocks.