カーネルダンプからイベントログを抽出

カーネルダンプから、まだディスクに吐き出されていないイベントログを抽出する方法を紹介します。

カーネルダンプからイベントログを抽出する方法
1. カーネルダンプをWinDbg で開きます。

2. 「!wmitrace.strdump」 を実行し、確認したいイベントログの「Id」を確認します。
例えば、以下の例では、システム のイベントログ(= EventLog-System) のId は0x09 になります。


3. 「!wmitrace.eventlogdump <上記2 で確認したイベントログのId>」を実行します。


4. 結果、カーネルダンプに残っていたイベントログを確認することができます。

---

情報元
Defrag Tools: #29 - WinDbg - ETW Logging (英語)

関連記事
カーネルダンプからETWログを抽出