LiveKd是一款非常不錯的微軟內核調試軟件，它是Windows包調試工具的一部分，可執(zhí)行在故障轉儲文件上運行的所有調試器命令，這樣大家就能夠深入系統(tǒng)內部，支持非常豐富的功能和操作，可使用多種命令，非常方便快捷。

安裝方法

如果將工具安裝到其默認目錄 \Program Files\Microsoft\Debugging Tools for Windows，則可以從任何目錄中運行 LiveKD；否則，應將 LiveKD 復制到安裝了工具的目錄中。

如果尚未為運行 LiveKD 的系統(tǒng)安裝符號，LiveKD 會詢問是否希望系統(tǒng)自動將系統(tǒng)配置為使用 Microsoft 的符號服務器 (請參閱調試工具，以獲取有關符號文件和 Microsoft 符號服務器) 的信息Windows文檔。

注意： Microsoft 調試器會抱怨它找不到LIVEKDD.SYS符號。 這是預期的，因為我沒有為LIVEKDD.SYS提供符號，并且不會影響調試器的行為。

使用方法

使用：

liveKd [-w]|[-k <調試器>]|[-o filename]] [-vsym] [-m[flags] [[-mp process]|[pid]]][調試器選項]

liveKd [-w]|[-k <調試器>]|[-o filename]] -ml [調試器選項]

liveKd [-w]|[-k <調試器>]|[-o filename]] [[-hl]|[-hv <VM 名稱> [[-p]|[-hvd]]] [調試器選項]

參數    說明

-hv    指定要調試的 Hyper-V VM 的名稱或 GUID。

-hvd    僅包括虛擬機監(jiān)控程序頁面 (Windows 8.1及更高版本) 。

-hvl    列出運行 Hyper-V VM 的名稱和 GUID。

-k     指定要執(zhí)行的調試器映像的完整路徑和文件名

-m     創(chuàng)建鏡像轉儲，這是內核內存的一致視圖。

只有內核模式內存可用，此選項可能需要大量可用的物理內存。  一個標志掩碼，指定要包含的區(qū)域（可選） (從下表繪制，默認0x18F8) ：

0001 - 處理專用文件，0002 - 映射文件，

0004 - 共享部分，0008 - 頁表頁，

0010 - 分頁池，0020 - 非分頁池，

0040 - 系統(tǒng) PTE，0080 - 會話頁，

0100 - 元數據文件，0200 - AWE 用戶頁，

0400 - 驅動程序頁，0800 - 內核堆棧，

1000 - WS 元數據，2000 - 大頁

默認捕獲大多數內核內存內容，建議這樣做。

此選項可與 -o 一起使用，以更快地保存一致的轉儲。

鏡像轉儲需要Windows Vista 或 Windows Server 2008 或更高版本。

Sysinternals RamMap 提供了可用于包含的可用內存區(qū)域的分布的圖形摘要。

-ml     僅使用本機支持 (Windows 8.1及更高版本生成實時轉儲) 。

-mp     指定一個進程，其用戶模式內存內容應包含在鏡像轉儲中。 僅對 -m 選項有效。

-o    將 memory.dmp 保存到磁盤，而不是啟動調試器。

-p    在 LiveKd 處于活動狀態(tài)時暫停目標 Hyper-V VM， (建議與 -o) 一起使用。 指定要調試的 Hyper-V VM 的名稱或 GUID。

-hvl    列出運行 Hyper-V VM 的名稱和 GUID。

-vsym    顯示有關符號加載操作的詳細調試信息。

-w     運行 windbg 而不是 kd

所有其他選項將傳遞到調試器。

注意：如果調試器掛起，請使用Ctrl-Break終止并重啟調試器。

默認情況下，LiveKd 運行kd.exe。