Windows Minidump
| Format | Windows Minidump |
|---|---|
| Kurzname | MDMP |
| Kategorie | Speicher |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Ein teilweiser Speicherdump eines User-Mode-Prozesses, geschrieben bei Anwendungsabstürzen (Windows-Fehlerberichterstattung, z. B. %LOCALAPPDATA%\CrashDumps) oder auf Anforderung. Streams beschreiben die Threads, geladene Module mit Versionen und Zeitstempeln, den Exception Record, Systeminformationen und ausgewählte Speicherbereiche des Prozesses; der Header hält fest, wann der Dump geschrieben wurde. Dumps von lsass.exe sind ein häufiges Zeichen für den Diebstahl von Zugangsdaten. Kernel-Crash-Dumps (MEMORY.DMP, %SystemRoot%\Minidump) verwenden ein anderes Format.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 4D 44 4D 50 93 A7 | MDMP.. | Signatur 'MDMP', gefolgt von der Formatversion 0xA793 |
Bekannte Dateiendungen
.dmp, .mdmp
Referenzen
- MINIDUMP_HEADER structure (Microsoft) https://learn.microsoft.com/en-us/windows/win32/api/minidumpapiset/ns-minidumpapiset-minidump_header
- Minidump (MDMP) format (libyal/libmdmp) https://github.com/libyal/libmdmp/blob/main/documentation/Minidump%20(MDMP)%20format.asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Minidump“. https://kalink0.github.io/crush-forensics/formats/de/mdmp/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden