调试器实现之如何从被调试进程中Dump文件

先说下Dump文件是什么意思，它就是进程的内存镜像，你打开在内存里，它就叫镜像，在磁盘里就叫文件，其实，Dump文件是比较简单的，但是如果不知道相关的函数，自己实现的话，还是有点意思的。

下面我说说我的方法，主要是使用了这个API，MiniDumpWriteDump函数是用来Dump小型文件的，一般使用的方法是当程序崩溃的时候自动的创建Minidump。这里我们就要用到一个Kernel32.dll提供的API——SetUnhandledExceptionFilter 。具体的如何实现呢，我会在文件末尾附上一个看雪论坛的文章，里面说的比较详细，有兴趣的同学可以去搜索学习。我们这里就不细谈了，因为我们这里说的是调试器中如何Dump文件，调试器中可以是产生异常了然后我们捕获到异常然后Dump，也可以只是Dump一段内存，仅仅只是想研究这一部分内存。我们说说第二种，函数原型

BOOL WINAPI MiniDumpWriteDump(
  _In_  HANDLE hProcess,
  _In_  DWORD ProcessId,
  _In_  HANDLE hFile,
  _In_  MINIDUMP_TYPE DumpType,
  _In_  PMINIDUMP_EXCEPTION_INFORMATION ExceptionParam,
  _In_  PMINIDUMP_USER_STREAM_INFORMATION UserStreamParam,
  _In_  PMINIDUMP_CALLBACK_INFORMATION CallbackParam
);