先頭ページのダンプ
PFN0というか、メモリダンプを実行した時に先頭ページ部分が含まれているかどうかを、どの様に確認すればよいのかをちょっと調べていたのですが、隣の席の人が WinEn と FDpro での結果を調べてくれました。
PFN == 0
http://cci.cocolog-nifty.com/blog/2009/06/pfn-0.html#more
そもそも先頭ページが含まれているかどうかをどう判断するかですが、データ内容を人間が見てすんなり判断できるのか？が疑問だったりはしますが、一応次の方法で判断。Windows XP環境でメモリダンプを実行し、先頭ページが取れていると思われるケースでは先頭のデータ部分に「Invalid partition ta·ð ·····r loading operating system·Missing operating system」という可読可能な文字列部分があるようですので、とりあえずこの文字列があるかどうかを基準に win32dd*1 で試してみると以下の動きになるようです。*2
win32dd -r -l 0 -> 有り
win32dd -r -l 1 -> ブルースクリーンになってしまうので未確認
win32dd -d -t 0 -> 無し
win32dd -d -t 1 -> 有り
手元ではクラッシュダンプファイル形式でダンプファイルを作成するのにかなりの時間がかかっていました。お昼休みに実行してそのままお昼食べ終わる頃にやっと結果が出てくる雰囲気でしたので、かなり気長に待つ必要があるようです。
先頭ページが取れているかどうかで解析ツールの動作も変わってくる、というか調べれられない項目が出るようですので、対応していないツールを使って取ったメモリダンプは後から困るかもしれません。
