Windows Kernel Crash Dump

Format	Windows Kernel Crash Dump
Kurzname	Kernel dump
Kategorie	Speicher
Plattformen	Windows
Crush Unterstützung	Noch nicht unterstützt
Status	Überprüft
Zuletzt überprüft	2026-10-05

Forensische Relevanz

Kernel-Mode-Crash-Dumps, die Windows nach einem Bug Check schreibt, standardmäßig als %SystemRoot%\MEMORY.DMP. Je nach Konfiguration enthalten sie den gesamten physischen Arbeitsspeicher (vollständiges Speicherabbild), den Großteil davon (aktives Speicherabbild) oder nur den Kernel-Speicher (Kernel- und automatisches Speicherabbild); kleine Speicherabbilder in %SystemRoot%\Minidump\ verwenden dasselbe Kernel-Dump-Format und unterscheiden sich von User-Mode-Minidumps ('MDMP'). Der Header hält Dump-Typ, Bug-Check-Code und -Parameter sowie das Layout des physischen Speichers fest; vollständige und bitmap-basierte Varianten ermöglichen die Speicheranalyse von Prozessen, Netzwerkverbindungen und anderem flüchtigem Zustand zum Zeitpunkt des Absturzes.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 0 (0x0)	50 41 47 45 44 55 4D 50	PAGEDUMP	Signatur 'PAGE' + Markierung für gültigen Dump 'DUMP' (32-Bit)
Offset 0 (0x0)	50 41 47 45 44 55 36 34	PAGEDU64	Signatur 'PAGE' + Markierung für gültigen Dump 'DU64' (64-Bit)

Bekannte Dateiendungen

.dmp

Referenzen

Varieties of Kernel-Mode Dump Files (Microsoft) https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/varieties-of-kernel-mode-dump-files
Windows crash dump layer (Volatility 3 source) https://github.com/volatilityfoundation/volatility3/blob/develop/volatility3/framework/layers/crash.py

Diesen Eintrag zitieren

Crush-Format-Referenz, „Windows Kernel Crash Dump“. https://kalink0.github.io/crush-forensics/formats/de/kernel-dump/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden