在Windows上為Sfc.exe進程配置進程崩潰轉儲的自動收集
簡介
本文檔介紹如何在Windows上為sfc.exe進程收集故障轉儲。
必要條件
需求
思科建議您瞭解以下主題：
- 思科安全終端聯結器
- 命令提示視窗
使用的元件集
本檔案所述內容不限於軟體和硬體版本。本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
問題
- 由於sfc.exe崩潰，思科安全終結點應用程式可能進入禁用或斷開狀態。這可能是由意外的Windows關閉或其他Windows活動造成的。
- Windows啟用在AeDebug登錄檔值中配置的調試工具。在此場景中，可以預先選擇一個程式作為要使用的工具，這稱為死後調試程式。
解決方案
1.從Sysinternals Suite下載Procdump（將用作AeDebug事後偵錯程式）。
2.解壓C中的procdump.exe:驅動器並建立故障轉儲集合的轉儲資料夾：
附註：使用procdump64.exe收集轉儲主要有兩種方法：
· procdump64.exe -ma -i C:\Dumps將Procdump安裝為事後偵錯程式(AeDebug)，並指定當進程崩潰時將自動儲存崩潰轉儲的資料夾(C:\Dumps)。此模式設定Procdump以監視崩潰並將記憶體轉儲全部儲存到指定的目錄。如果您發現sfc.exe經常崩潰，這非常有用。
· procdump64.exe -ma <PID | Process Name>手動觸發指定正在運行的進程的PID或進程名稱完全記憶體轉儲(-ma)。此命令可立即捕獲轉儲，而不是等待崩潰事件。
總而言之，帶有資料夾路徑的 — i選項將Procdump安裝為崩潰處理程式，將崩潰時的轉儲儲存到該資料夾，同時指定PID或進程名稱會根據需要捕獲該進程的轉儲。兩者都使用 — ma標誌建立完整記憶體轉儲。在使用Procdump64.exe收集Windows上的進程崩潰轉儲的思科文檔中描述了這種用法
3a。使用以下命令將Procdump設定為AeDebugger:
procdump64.exe -ma -i C:\Dumps
3b。或者，使用以下命令按需建立轉儲：
procdump64.exe -ma
sfc.exe示例：
procdump64.exe -accepteula -ma -e -x c:\Dumps %ProgramFiles%\Cisco\AMP\8.2.3.30119\sfc.exe
4.導航至C:\Dumps資料夾，如圖所示。壓縮並分享以進行分析：
解除安裝
要解除安裝procdump，請使用：
procdump64.exe -u
附註：崩潰轉儲可能會佔用大量磁碟空間，因此收集完成後立即停止procdump非常重要。
不過，也可以使用替代方法壓縮資料夾的大小：
使用CLI
在命令提示符下使用此命令啟用壓縮。
compact /c /s:c:\install
使用GUI
1.導航到轉儲資料夾的屬性，然後檢查磁碟上資料夾的原始大小，如下所示：
2.定位至Advanced選項，啟用壓縮，然後應用該選項。此過程可能需要幾分鐘。
3.最後，您可以觀察到，資料夾大小已顯著減小，幾乎達到其原始大小的一半。
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
24-Mar-2025
|
初始版本 |
意見