Как посмотреть, какое приложение запущено с определенного адреса памяти?

Question

Я недавно обновился до Windows 10 и получаю всплывающее окно исключения NBCore.exe, которое говорит:

Исключительная ситуация неизвестного программного исключения 0x40000015 произошла в приложении в расположении 0x000000006F5AD67D.

Похоже, что действительно хорошее начало - выяснить, какое приложение использует 0x000000006F5AD67D, но я не нашел, где искать.

Я посмотрел в диспетчере задач, и они дают мне идентификаторы, но не адреса памяти. Я также проверил Системную информацию (msinfo), но места физической памяти там тоже нет. Я скачал и запустил инструмент кучи памяти, но запущенные процессы не совпадали с этим адресом.

Любые другие советы / предложения, чтобы увидеть, какая программа использует эту область памяти? Сообщение об ошибке более одного раза появлялось с одним и тем же местом в памяти, так что, кажется, указывает на одно приложение как подозрительное.

Answer 1

Из вашего вопроса мне кажется, что речь идет о программе NBCore.exe. Это часть Nero, приложения для создания оптических носителей.

В более общем смысле: не имеет смысла пытаться идентифицировать конкретную программу по такому адресу. Адреса, которые вы видите в таких сообщениях, всегда являются виртуальными . И каждый процесс получает новый экземпляр виртуального адресного пространства пользовательского режима, который работает от 0 до 0x7FFF FFFFFFFF (в современных системах Windows x64). Таким образом, адрес 0x00000000 6F5AD67D не является специфическим для какого-либо процесса; каждый процесс включает в себя экземпляр этого адреса. (Так же, как один и тот же семизначный телефонный номер может существовать в каждом коде страны).

Формальный способ сказать, что адреса в этом диапазоне неявно определены текущим контекстом процесса.

Конечно, какой-либо конкретный адрес фактически используется в каком-либо конкретном процессе, зависит от того, что этот процесс делает.

Инструмент VMmap от sysinternals позволит вам взглянуть на отдельный процесс и увидеть, как он использует свое адресное пространство. Если вы используете его для просмотра одного процесса, а затем другого, вы увидите, что одни и те же адреса используются снова и снова, как описано здесь.