ProcDump v12.0

Von Mark Russinovich und Andrew Richards

Veröffentlicht: 7. Mai 2026

Herunterladen ProcDump(1,2 MB)

ProcDump für Linux herunterladen (GitHub)
ProcDump für Mac herunterladen (GitHub)

^{Erstellt mit ZoomIt}

Einführung

ProcDump ist ein Befehlszeilenprogramm, dessen Hauptzweck darin besteht, eine Anwendung auf CPU-Spitzen zu überwachen und Absturzabbilder während einer Spitze zu generieren, die ein Administrator oder Entwickler zur Ermittlung ihrer Ursache verwenden kann. ProcDump umfasst auch die Überwachung von hängenden Fenstern (mit der gleichen Definition für das Hängen eines Fensters, das von Windows und vom Task-Manager verwendet wird) sowie die Überwachung nicht behandelter Ausnahmen. Darüber hinaus kann ProcDump Abbilder basierend auf den Werten von Systemleistungsindikatoren generieren. ProcDump kann auch als allgemeines Hilfsprogramm zum Sichern von Prozessabbildern dienen, das Sie in andere Skripte einbetten können.

Verwenden von ProcDump

Erfassung der Nutzung:

procdump.exe [-mm] [-ma] [-mt] [-mp] [-mc <Mask>] [-md <Callback_DLL>] [-mk]
            [-n <Count>]
            [-s <Seconds>]
            [-c|-cl <CPU_Usage> [-u]]
            [-m|-ml <Commit_Usage>]
            [-p|-pl <Counter> <Threshold>]
            [-h]
            [-e [1] [-g] [-b] [-ld] [-ud] [-ct] [-et]]
            [-l]
            [-t]
            [-f  <Include_Filter>, ...]
            [-fx <Exclude_Filter>, ...]
            [-dc <Comment>]
            [-o]
            [-r [1..5] [-a]]
            [-at <Timeout>]
            [-wer]
            [-64]
            {
                {{[-w] <Process_Name> | <Service_Name> | <PID>} [<Dump_File> | <Dump_Folder>]}
            |
                {-x <Dump_Folder> <Image_File> [Argument, ...]}
            }

Verwendung der Installation:

procdump.exe -i [Dump_Folder]
            [-mm] [-ma] [-mt] [-mp] [-mc <Mask>] [-md <Callback_DLL>] [-mk]
            [-r]
            [-at <Timeout>]
            [-k]
            [-wer]

Deinstallieren der Verwendung:

procdump.exe -u

Speicherabbildtypen:

Bedingungen:

Lizenzvereinbarung:

Verwenden Sie die Befehlszeilenoption „-accepteula“, um die Sysinternals-Lizenzvereinbarung automatisch zu akzeptieren.

Automatische Beendigung:

-cancel <Target Process PID>

Die Verwendung dieser Option oder das Festlegen eines Ereignisses mit dem Namen „ProcDump-<PID>“ ist identisch mit der Eingabe von STRG+C, um ProcDump ordnungsgemäß zu beenden. Eine sanfte Beendigung stellt sicher, dass der Prozess fortgesetzt wird, wenn eine Erfassung aktiv ist. Der Abbruch gilt für ALLE ProcDump-Instanzen, die den Prozess überwachen.

Dateiname:

Standardname der Dump-Datei: PROCESSNAME_YYMMDD_HHMMSS.dmp

Die folgenden Ersetzungen werden unterstützt:

Beispiele

• Schreiben Sie ein Mini-Abbild eines Prozesses namens „notepad“ (es darf nur eine einzige Übereinstimmung existieren):

  C:\>procdump notepad
  

• Schreiben Sie ein vollständiges Speicherabbild eines Prozesses mit der PID „4572“:

  C:\>procdump -ma 4572
  

• Schreiben Sie zuerst ein Mini- und dann ein vollständiges Abbild eines Prozesses mit PID „4572“:

  C:\>procdump -mm -ma 4572
  

• Schreiben Sie drei Minidumps in Abständen von fünf Sekunden von einem Prozess mit dem Namen „notepad“.

  C:\>procdump -n 3 -s 5 notepad
  

• Schreiben Sie bis zu 3 Miniabbilder eines Prozesses mit dem Namen „consume“, wenn er für fünf Sekunden eine CPU-Auslastung von mehr als 20 % hat.

  C:\>procdump -n 3 -s 5 -c 20 consume
  

• Schreiben Sie einen Minidump für einen Prozess mit dem Namen „hang.exe“, wenn eines der Fenster länger als fünf Sekunden nicht reagiert.

  C:\>procdump -h hang.exe
  

• Schreiben Sie ein vollständiges Speicherabbild und ein Kernel-Speicherabbild für einen Prozess mit dem Namen „hang.exe“, wenn eines seiner Fenster mehr als fünf Sekunden lang nicht reagiert:

  C:\>procdump -ma -mk -h hang.exe
  

• Schreiben Sie ein Mini-Dump eines Prozesses namens „outlook“, wenn die CPU-Auslastung des Gesamtsystems für zehn Sekunden 20 % überschreitet.

  C:\>procdump outlook -s 10 -p "\Processor(_Total)\% Processor Time" 20
  

• Schreiben Sie einen vollständigen Speicherauszug eines Prozesses mit dem Namen „outlook“, wenn die Anzahl der Handles von Outlook 10.000 übersteigt.

  C:\>procdump -ma outlook -p "\Process(Outlook)\Handle Count" 10000
  

• Schreiben Sie ein vollständiges Abbild von „svchost“ PID 1234, Instanz #87, wenn die Handleanzahl 10.000 überschreitet:

  C:\>procdump -ma 1234 -p "\Process(svchost#87)\Handle Count" 10000
  

  Hinweis: Indikatoren für mehrere Instanzen
  Wenn mehrere Instanzen des Zählers vorhanden sind, müssen Sie den Namen und/oder die Instanznummer angeben.

  \Processor(NNN)\% Processor Time
  \Thermal Zone Information(<name>)\Temperature
  \Process(<name>[#NNN])\<counter>
  

  Bei älteren Betriebssystemen müssen Sie die PID für \Process-Zähler anfügen.

  \Process(<name>[_PID])\<counter>
  

  Tipp: Verwenden Sie den Leistungsmonitor, um die Indikatoren anzuzeigen (insbesondere Groß-/Kleinschreibung).
  Tipp: Verwenden Sie für \Process(*)-basierte Leistungsindikatoren PowerShell, um ihrem #NNN eine PID zuzuordnen.

  Get-Counter -Counter "\Process(*)\ID Process"
  

• Schreiben Sie ein vollständiges Dump für eine zweite-Chance-Ausnahme.

  C:\>procdump -ma -e w3wp.exe
  

• Schreiben Sie einen vollständigen Speicherauszug für eine erst- oder zweitstufige Ausnahme.

  C:\>procdump -ma -e 1 w3wp.exe
  

• Schreiben Sie ein vollständiges Abbild für eine Debugzeichenfolgenmeldung:

  C:\>procdump -ma -l w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Speicherdumps für jede erste oder zweite Ausnahme von „w3wp.exe“:

  C:\>procdump -ma -n 10 -e 1 w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Speicherabbilder, wenn der Code, der Name oder die Nachricht einer Ausnahme „NotFound“ enthält.

  C:\>procdump -ma -n 10 -e 1 -f NotFound w3wp.exe
  

• Schreiben Sie bis zu zehn vollständige Dumps, wenn eine Debugzeichenfolge die Zeichenkette „NotFound“ enthält:

  C:\>procdump -ma -n 10 -l -f NotFound w3wp.exe
  

• Warten Sie auf einen Prozess namens „notepad“ (und überwachen Sie ihn auf Ausnahmen):

  C:\>procdump -e -w notepad
  

• Starten Sie einen Prozess namens „notepad“ (und überwachen Sie ihn auf Ausnahmen):

  C:\>procdump -e -x c:\dumps notepad
  

• Registrieren Sie sich für den Start, und versuchen Sie, eine Store-„Anwendung“ zu aktivieren. Beim Aktivieren wird eine neue ProcDump-Instanz gestartet:

  C:\>procdump -e -x c:\dumps Microsoft.BingMaps_8wekyb3d8bbwe!AppexMaps
  

• Registrieren Sie sich für den Start eines Store-„Pakets“. Beim (manuellen) Aktivieren wird eine neue ProcDump-Instanz gestartet:

  C:\>procdump -e -x c:\dumps Microsoft.BingMaps_1.2.0.136_x64__8wekyb3d8bbwe
  

• Schreiben Sie einen MiniPlus-Dump des Microsoft Exchange Information Store, wenn eine nicht behandelte Ausnahme auftritt.

  C:\>procdump -mp -e store.exe
  

• Zeigen Sie die Ausnahmecodes/-namen von "w3wp.exe" an, ohne ein Speicherabbild zu erstellen.

  C:\>procdump -e 1 -f "" w3wp.exe
  

• Windows 7/8.0: Verwenden Sie Reflektion, um den Ausfall für fünf aufeinanderfolgende Trigger zu reduzieren:

  C:\>procdump -r -ma -n 5 -s 15 wmplayer.exe
  

• Windows 8.1 und höher: Verwenden Sie PSS, um den Ausfall für fünf gleichzeitige Trigger zu reduzieren:

  C:\>procdump -r 5 -ma -n 5 -s 15 wmplayer.exe
  

• Installieren Sie ProcDump als Postmortem-Debugger (AeDebug):

  C:\>procdump -ma -i c:\dumps
  

  … oder …

  C:\Dumps>procdump -ma -i
  

• Deinstallieren Sie ProcDump als Postmortem-Debugger (AeDebug):

  C:\>procdump -u
  

Lassen Sie sich eine Liste der Beispielbefehlszeilen anzeigen (die Beispiele sind oben aufgeführt):

C:\>procdump -? -e

Verwandte Links

• Windows Internals Buch Die offizielle Seite für Updates und Errata für das umfassende Buch „Windows Internals“, von Mark Russinovich und David Solomon.
• Windows Sysinternals Administrator’s Reference: Der offizielle Leitfaden zu den Sysinternals-Hilfsprogramme von Mark Russinovich und Aaron Margosis, einschließlich Beschreibungen aller Tools, ihrer Funktionen, wie sie für die Problembehandlung verwendet werden können, und Beispiele für reale Anwendungsfälle.

Herunterladen ProcDump(1,2 MB)

ProcDump für Linux herunterladen (GitHub)
ProcDump für Mac herunterladen (GitHub)

Läuft auf:

• Client: Windows 11 und höher.
• Server: Windows Server 2016 und höher.

Weitere Informationen

• Defragmentierungstools: #9 – ProcDump In dieser Folge über Defragmentierungstools wird beschrieben, was das Tool erfasst und welche erwarteten Ausfalldauern zu erwarten sind.
• Defragmentierungstools: #10 – ProcDump – Trigger In dieser Folge werden Triggeroptionen und insbesondere Ausnahmen (1. und 2. Chance) behandelt
• Defragmentierungstools: #11 – ProcDump – Windows 8 und Prozessmonitor In dieser Episode wird die Unterstützung moderner Anwendungen und der Prozessmonitorprotokollierung behandelt