【问题标题】：How is ProcDump implemented? Is it essentially a debugger?ProcDump 是如何实现的？它本质上是一个调试器吗？
【发布时间】：2016-04-25 07:27:16
【问题描述】：
我对 ProcDump（一个 Sysinternals 实用程序）的内部结构感兴趣：它本质上是一个调试器吗？它如何设法将进程转储到异常、首次机会异常甚至托管 (CLR) 异常？
我可以看到它有来自 kernel32.dll 的导入，例如 DebugActiveProcess。它的字符串还包含 CLR 库的名称，因此我假设它会动态加载它们以使用 CLR 调试 API（尽管我在字符串中没有看到 mscordbi.dll - 应该吗？）。
【问题讨论】：
标签：
debugging
sysinternals
procdump
【解决方案1】：
在使用 IDA Pro 查看 ProcDump 之后，我将尝试对自己的问题给出一个基本的答案。
至少对于非托管方面，ProcDump 似乎利用了 Win32 调试 API：它使用 DebugActiveProcess 和 WaitForDebugEvent 和 ContinueDebugEvent 的调试循环。然后，根据启动参数，它可以例如检查异常并将 ReadProcessMemory 中的内容转储到 IO 设备中。