一起谈谈静默退出与Dump

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。（本文仅用于交流学习）

我们先来看看什么是静默退出，在Windows7开始，就可以设置对指定进程的静默退出（官方术语是"无提示进程退出"）。监视功能不会检测进程最后一个线程退出时发生的正常进程终止，监视功能不会检测由内核模式代码启动的进程终止。

如果我们要对某进程使用静默退出，我们可以在注册表中如下设置，将GlobalFlag值设置为0x200，当然我们需要先设置ProcessName项指定进程

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\ProcessName

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\ProcessName\\GlobalFlag

我们还可以配置当进程以无提示方式退出时要执行的操作。可以配置通知、事件日志记录和转储文件的创建，因为我们要Dump，因此我们重点关心转储文件的创建。

这里有全局配置与应用程序设置两种

全局设置：适用于静默退出监视的所有进程，在注册表中的位置如下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit

应用程序设置：设用于单个进程的设置，在注册中设置的位置如下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\ProcessName

我们这里选择应用程序设置即可，没必要使用全局的设置。还有很多设置，但是这里我们只看我们需要使用的，所有我们来看看报告模式，大致就是检测到进程静默退出后，执行的操作（但是此设置不能用于全局设置）

ReportingMode有三个值可以设置，这里我们选择LOCAL_DUMP（0x2）

既然我们使用转储文件，那么还需要指定转储文件的位置

LocalDumpFolder所对应的值即可我们转储文件所存放的位置，那对于我们的转储文件有没有大小的限制呢，默认情况下是没有限制的。

（编辑：银川站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!