debugging - ProcDump 是如何实现的？它本质上是一个调试器吗？

Question

我对ProcDump（一个 Sysinternals 实用程序）的内部结构感兴趣：它本质上是一个调试器吗？它如何设法将进程转储到异常、首次机会异常甚至托管 (CLR) 异常？

我可以看到它有来自 kernel32.dll 的导入，例如 DebugActiveProcess。它的字符串还包含 CLR 库的名称，因此我假设它动态加载它们以使用 CLR 调试 API（尽管我在字符串中看不到 mscordbi.dll - 我应该吗？）。

Answer 1

在使用 IDA Pro 查看 ProcDump 之后，我将尝试对我自己的问题给出一个基本的答案。

至少对于非托管方面，ProcDump 似乎利用了 Win32 调试 API：它使用 DebugActiveProcess 和 WaitForDebugEvent 和 ContinueDebugEvent 的调试循环。然后，根据启动参数，它可以检查异常并将 ReadProcessMemory 中的内容转储到 IO 设备中。