⚡ 站長快讀:核心重點
- 文章屬性:教學實戰
- 適用系統:用戶端 Windows 11 以上、伺服器 Windows Server 2016 以上(官方標示的執行環境)
- 難易度 / 耗時:⭐⭐⭐ 高風險操作 / 安裝到跑出第一個指令約 30 分鐘
- 核心結論:在「系統仍在執行、不必先當機」的前提下,LiveKd 是唯一不改開機設定、不重開機,官方又明列可用
!thread看執行緒堆疊的選項;要中斷點與單步請走雙機除錯,要完全一致的資料只能等傾印檔。 - 適用對象:已經會看當機傾印檔、想進一步在系統「還活著」的時候觀察核心行為的 Windows 進階使用者、IT 維運與驅動開發者
📌 快速答案
一句話答案:LiveKd 靠核心記憶體快照讓 WinDbg 檢視執行中的 Windows 核心,代價是快照未必等於單一瞬間狀態,結論只能信變化慢的部分。
🧰 開始前的準備
- 系統需求:官方下載頁標示執行環境為用戶端 Windows 11 以上、伺服器 Windows Server 2016 以上;
-hvd與-ml兩個參數另外標註需要 Windows 8.1 以上,-m鏡像傾印需要 Windows Vista 或 Windows Server 2008 以上 - 權限需求:系統管理員。LiveKd 會使用自帶的核心驅動
LIVEKDD.SYS,而載入核心驅動屬於系統管理員層級的權限 - 需要工具:①Debugging Tools for Windows(內含
kd.exe與 WinDbg)②LiveKd(現行版本 v5.65,壓縮檔約 509 KB,也內含在 Sysinternals Suite 裡) - 預計耗時:安裝與符號設定約 20 分鐘,第一次進到核心提示字元再約 10 分鐘
- 難度門檻:要會開系統管理員命令提示字元,而且知道「符號檔」是什麼。符號沒設好,後面每個指令都只會吐一堆
nt+0x3f1234——這一段可以先看站長寫過的 WinDbg Preview 安裝與符號路徑設定完整教學
🔍 為什麼你需要這個?
多數人接觸 WinDbg 的順序是這樣的:電腦藍屏 → 找到 MEMORY.DMP → 開 WinDbg → 跑 !analyze -v。這條路的前提很殘忍——你得先當機一次。可是實務上有一整類問題根本不會當機:服務卡住不回應、某支驅動慢慢吃掉非分頁集區、開機三天後系統變得黏滯、某個執行緒卡在奇怪的等待狀態。這些情況系統還活著,但你想看的東西全在核心裡,而核心不會自己吐報告給你。
LiveKd 補的就是這一格。它讓你在系統正常運作的狀態下,直接把 kd 或 WinDbg 接到核心上,下 !process、!thread、!vm 這些平常只有在分析傾印檔時才用得到的指令。
這篇文章跟一般「下載、解壓縮、打指令」的工具介紹有三個地方不一樣:
- LiveKd 其實不是真的「即時」除錯,而是快照。 微軟自己的除錯器文件寫得很清楚:LiveKd 是在「模擬」本機核心除錯,它做的是一份不停止核心的快照,因此「這份快照可能無法真正呈現電腦在單一瞬間的狀態」。這句話決定了你能相信哪些輸出、不能相信哪些輸出,下面會拆開講。
- Windows 內建就有本機核心除錯,但它砍掉的指令多到你會想哭。 官方文件列出在本機核心除錯工作階段中「不可用」的指令,包含
k系列堆疊追蹤與r系列暫存器顯示——而且啟用它要改開機設定並重開機,官方還提醒「使用 bcdedit 變更開機資訊之前,可能需要暫時停用 BitLocker 與安全開機等 Windows 安全功能」。LiveKd 存在的理由就在這裡。 - 它產生的傾印檔含有核心記憶體,而「不讓非系統管理員讀到」這件事是 2026 年 7 月才補上的。 Sysinternals 官方部落格在 2026 年 7 月 9 日公告的 v5.65,更新重點正是保護產生的傾印檔不被非系統管理員身分的使用者讀取。換句話說,你用
-o存下來的那個檔案不是普通檔案,它該被當成敏感資料處理——這點下面還會再提醒一次。順帶一提,官方 LiveKd 頁面本身也有沒維護到的地方:安裝段那條 Debugging Tools for Windows 連結至今仍寫著舊的 MSDN 網址(實測仍可正常轉址到現行的 Install WinDbg 頁,不影響使用),但簡介段那條指向www.microsoft.com/whdc/…的連結實測已經是空的;而官方所說的「除錯工具預設目錄」也還停在舊版路徑——這幾點下面逐一說清楚。
🛠️ 實戰步驟
⚠️ ⭐⭐⭐ 高風險操作警語
先把風險歸屬講清楚:官方文件說「所有記憶體輸入輸出指令都可用,你可以自由讀取使用者記憶體與核心記憶體,也可以寫入記憶體」,並警告「請小心不要寫到核心記憶體的錯誤位置,因為那會損毀資料結構並經常使電腦停止回應(也就是當機)」——這段話是針對內建本機核心除錯(
kd -kl)說的;LiveKd 餵給除錯器的是快照傾印檔,依傾印檔除錯的原理,在上面寫東西應該不會回寫到執行中的實機——但這是站長的推論,官方文件並未就此作任何陳述,請不要拿它當安全保證。兩者又共用同一套除錯器介面,誤按到錯的工作階段是真實存在的風險。開始之前:– 先做好資料備份或建立系統還原點,並確認手邊有電源(筆電請接上變壓器)。
– 本文所有指令都只讀不寫。除非你完全清楚自己現在連的是哪一種工作階段,否則不要使用任何寫入記憶體的指令(
e系列)。– 產生的傾印檔內含核心記憶體,可能含有敏感資料,不要隨手上傳到公開空間。
🛑 停止條件清單(符合任一項,請不要繼續)
– 這是公司或學校的管控裝置,而你沒有 IT 授權。
– 你不確定自己的 Windows 版本,或裝置啟用了 BitLocker 但你手上沒有還原金鑰。
– 你打算改的是別人正在使用的正式生產伺服器。
– 指令輸出跟本文描述明顯不同,而你看不出原因。
– 你需要的其實只是「分析已經發生的藍屏」——那請走傾印檔那條路,不需要動 LiveKd。
步驟一:先裝 Debugging Tools for Windows
LiveKd 本身不含除錯器。官方文件說得很直白:LiveKD 不屬於 Debugging Tools for Windows 套件,它只是負責把快照餵給 kd.exe 或 WinDbg。所以第一件事是把除錯器裝起來。
微軟提供三個取得管道:隨 Windows Driver Kit(WDK)安裝、隨 Windows SDK 安裝,或是「獨立安裝」——啟動 Windows SDK 安裝程式後,在功能清單裡只勾選 Debugging Tools for Windows、其餘全部取消勾選。第三種最省事,不用把整套 SDK 拖下來。
裝完之後確認 kd.exe 在不在。開啟命令提示字元執行:
where kd.exe如果找不到,預設安裝路徑通常在 Program Files (x86)\Windows Kits\10\Debuggers 底下的 x64 或 arm64 子資料夾。
步驟二:下載 LiveKd,並且放對位置
到官方下載頁把 LiveKD.zip 抓下來解壓縮。放的位置是有規矩的,官方說明是:如果你把除錯工具安裝在預設目錄,LiveKd 放在任何目錄都可以執行;否則,請把 LiveKd 複製到除錯工具所在的目錄。
⚠️ 這裡有一個官方文件沒跟上的坑,而且很多人踩過:LiveKd 頁面上寫的那個「預設目錄」,原文是 \Program Files\Microsoft\Debugging Tools for Windows——那是舊版的安裝路徑。你今天照步驟一裝出來的除錯工具,依官方工具清單頁的說法,64 位元版預設會落在 C:\Program Files (x86)\Windows Kits\10\Debuggers。兩個路徑根本不是同一個地方,所以「照官方說的裝在預設目錄」在 2026 年並不會自動讓 LiveKd 找到除錯器。
實務解法二選一:把 livekd.exe 直接複製到 Debuggers\x64 裡面,或是用 -k 參數把除錯器的完整路徑指給它——這個參數的定義就是「指定要執行的除錯器映像的完整路徑與檔名」。遇到 LiveKd 找不到除錯器時,先查這一條,別急著懷疑工具壞了。
如果你已經裝了 Sysinternals Suite,LiveKd 也在那包裡面(官方 Suite 頁面的工具清單有列 LiveKd),不必另外抓。
步驟三:第一次啟動與符號設定
以系統管理員身分開啟命令提示字元,切到 LiveKd 所在目錄,直接執行:
livekd.exe預設情況下 LiveKd 執行的是 kd.exe(命令列版本)。想用圖形介面的 WinDbg,加上 -w:
livekd.exe -w第一次跑會遇到兩件事,兩件都正常:
其一,LiveKd 會問你要不要幫你設定符號伺服器。 官方說明是:如果你尚未替執行 LiveKD 的系統安裝符號,LiveKD 會詢問是否要自動設定系統使用微軟的符號伺服器。答應它就對了,不然接下來看到的全是位址而不是函式名稱。
其二,除錯器會抱怨找不到 LIVEKDD.SYS 的符號。 這是官方明文標註的預期行為——作者沒有提供該驅動的符號,而且不影響除錯器的行為。看到這行警告請直接無視,不要花時間去找那個符號檔。
想看符號載入到底發生什麼事,可以加 -vsym,它會顯示符號載入作業的詳細除錯資訊。
步驟四:進去之後看什麼
進到 kd> 提示字元後,你面對的其實就是一份「核心傾印檔」的除錯工作階段,所有你在分析 dump 時會用的指令這裡都能下。幾個最值得先跑的:
!process 0 0列出系統上所有行程的核心層資訊(EPROCESS 位址、映像檔名、行程 ID)。這是進核心之後的「開場白」。
!thread看執行緒與它的堆疊。這正是 LiveKd 相對於內建功能的賣點——官方 LiveKd 頁面直接寫著:雖然較新版本的 WinDbg 與 Kd 在 Windows Vista 與 Server 2008 上有類似能力,但 LiveKD 提供更多功能,例如用 !thread 指令檢視執行緒堆疊。
!vm看虛擬記憶體與集區使用情形。追記憶體洩漏時,!vm、!poolused、!handle 這組指令的用法站長另外寫過一篇 WinDbg 記憶體與控制代碼診斷,這裡不重複。
離開的時候,官方提醒了一個很實用的細節:如果除錯器卡住,用 Ctrl-Break 終止並重新啟動除錯器。
步驟五:當你需要一份「前後一致」的快照
預設快照最大的問題是不一致(原因在下一節說明)。LiveKd 給的解法是 -m,官方定義是:建立鏡像傾印(mirror dump),也就是核心記憶體的一致檢視。
代價有兩個,官方也都寫了:只有核心模式記憶體可用;而且這個選項可能需要大量的可用實體記憶體。
livekd.exe -m -w-m 後面可以接旗標遮罩指定要納入哪些區域,預設值是 0x18F8,官方說明「預設值會擷取大部分的核心記憶體內容,建議使用」。想知道自己機器上各記憶體區域分別佔多少,官方建議用 Sysinternals 的 RamMap 來看圖形化摘要。
想順手把使用者模式的部分也帶上,-mp 可以指定單一行程,把它的使用者模式記憶體內容納入鏡像傾印——但這個參數只在搭配 -m 時有效。
步驟六:只想要一個檔案,不想開除錯器
-o 的定義是:把 memory.dmp 存到磁碟,而不是啟動除錯器。遠端支援情境非常好用:請對方跑一行指令、把檔案傳回來,你在自己機器上慢慢看。
livekd.exe -o C:\dumps\live_memory.dmp⚠️ 這個檔案裡是核心記憶體,請當敏感資料保管。官方在 v5.65 才加上「保護產生的傾印檔不被非系統管理員讀取」這項改善,更早版本產生的舊檔案不會因為升級而回頭變安全。
官方特別註明 -m 可以搭配 -o 使用,以更快地儲存一致的傾印檔。另外還有兩條路:
-ml:使用原生支援產生即時傾印(官方標註 Windows 8.1 以上限定)。這條路不走 LiveKd 自己的快照機制,而是叫作業系統自己來。-hv:指定要偵錯的 Hyper-V 虛擬機器名稱或 GUID;-hvl列出執行中 Hyper-V 虛擬機器的名稱與 GUID;-hvd納入 Hypervisor 分頁(Windows 8.1 以上);-p則在 LiveKd 作用期間暫停目標虛擬機器,官方建議搭配-o使用。
最後一個常被忽略的細節:所有其他選項都會直接傳遞給除錯器。所以你熟悉的 kd 參數可以照用。
步驟七:驗證結果
三個判準,由淺到深:
- 提示字元變成
kd>,而且沒有一直跳符號錯誤(LIVEKDD.SYS那一則除外)。 !process 0 0列得出行程清單,而且映像檔名看得懂——如果全是亂碼或位址,通常是符號沒設好。lm列得出載入的核心模組清單。這一步過了,代表核心結構有被正確解析。
🔬 底層機制:LiveKd 到底憑什麼「不停機」?
這一節決定你可以相信哪些輸出。一般的核心除錯之所以要中斷系統,是因為除錯器要在一個凍結的時間點上讀取記憶體。時間凍住了,所有核心資料結構才會彼此一致:這個執行緒的堆疊指標,對得上那個行程的位址空間;這個等待區塊指到的物件,確實還存在。
LiveKd 不凍結系統。微軟除錯器文件對它的描述是:LiveKD 工具「模擬」本機核心除錯,它建立核心記憶體的「快照」傾印檔,而製作快照時不會實際停止核心——因此,「這份快照可能無法真正呈現電腦在單一瞬間的狀態」。
翻成白話:你讀到的核心記憶體,是在系統持續變動的過程中一塊一塊撈出來的。 撈第一塊時某個執行緒還在跑,撈到第五塊時它可能已經結束——於是你會看到自相矛盾的畫面:某個結構指向已不存在的物件、某條堆疊斷在半空中。
這帶出三條實務判準:
- 變化慢的東西可以信。 官方在講本機核心除錯的困難時也講了同一件事:機器狀態持續改變、記憶體不斷分頁進出、作用中的行程不斷變化;但在這些條件下,「你仍然可以有效分析變化緩慢的事物,例如某些裝置狀態」。驅動載入清單、裝置堆疊、集區用量的量級都適合。
- 變化快的東西要當參考,不要當結論。 單一執行緒此刻的堆疊、某個鎖現在的持有者,下一秒就變了。看到怪東西先想「會不會只是快照撕裂」,再想「是不是 bug」。
- 需要一致性,就付記憶體的代價用
-m。 鏡像傾印的整個存在理由就是換取一致檢視,代價是只有核心模式記憶體,而且可能吃掉大量可用實體記憶體。
順帶把一組非常容易被混在一起的東西拆開,這裡請跟著分清楚:
官方對「內建本機核心除錯」(也就是 kd -kl / windbg -kl)明列了一份不可用指令清單——執行類指令(g、p、t、wt、tb、gh、gn)、關機與傾印類指令(.crash、.dump、.reboot)、中斷點類指令(bp、bu、ba、bc、bd、be、bl)、暫存器顯示類指令(r 及其變化)、堆疊追蹤類指令(k 及其變化),理由是「通常你無法使用任何會讓目標電腦停止的指令,即使只停止一瞬間,因為你無法讓它恢復運作」。這份清單是針對內建功能寫的,官方並沒有把它套用到 LiveKd 身上。
LiveKd 這邊,官方的說法是另一句:它讓你「執行所有適用於當機傾印檔的除錯器指令」。所以 k、r 這類在傾印檔工作階段本來就能用的指令,在 LiveKd 裡不受那份清單約束。
至於中斷點與單步,站長的判斷是做不到——但請注意這是依原理推論,不是官方逐字寫下的結論:LiveKd 餵給除錯器的是一份靜態的快照傾印檔,靜態檔案裡沒有「停下來再讓它繼續跑」的目標可停。想要真正的中斷點與單步,路只有一條:兩台機器的核心除錯(主機加目標機)。
🧭 LiveKd、內建本機核心除錯、當機傾印分析,到底該用哪一個?
三條路解決的是三個不同問題,不是互相取代的關係。
| 比較項目 | LiveKd | 內建本機核心除錯 | 當機傾印分析 |
|---|---|---|---|
| 前置設定 | 裝除錯器 + 放對 LiveKd | bcdedit /debug on 加 /dbgsettings local,並重開機 | 事先設好傾印檔設定 |
| 需要重開機 | 不需要 | 需要 | 不需要(但已經當機過) |
| 檢視執行緒堆疊 | 官方明列可用 !thread | k 系列官方列為不可用 | 可用 |
| 資料一致性 | 預設不一致;-m 可取得一致檢視 | 狀態持續變動 | 完全一致(當機瞬間凍結) |
三點重點摘要:
- 系統還活著、想看現況 → LiveKd。它是唯一不必改開機設定,官方又明列可用
!thread檢視執行緒堆疊的選項。 - 需要中斷點與單步 → 以上三者都做不到,請走雙機核心除錯。
- 已經藍屏了 → 老老實實分析傾印檔,那份資料的一致性是 LiveKd 給不了的。傾印檔怎麼設定與怎麼讀,可以看 藍白當機 (BSOD) 考古學:從 Windows 98 災難現場到 2026 年 WinDbg 核心除錯全攻略。
還有一個很多人沒注意到的代價:啟用內建本機核心除錯要用 bcdedit 改開機設定,而官方在該頁面的「重要」區塊明白提醒——使用 bcdedit 變更開機資訊之前,你可能需要在測試電腦上暫時停用 BitLocker 與安全開機等 Windows 安全功能,並且在除錯完成、關閉本機核心除錯後,再重新啟用安全開機。對一台日常使用的機器來說,這個代價並不小,而 LiveKd 完全不需要付。
🔙 萬一翻車:回退步驟
情境一:除錯器卡住不動
官方給的做法最直接:用 Ctrl-Break 終止並重新啟動除錯器。若整個命令提示字元視窗都沒反應,直接關掉視窗;LiveKd 是使用者模式程式,關掉它不會讓系統一起走。
情境二:符號一直載不進來、輸出全是位址
先確認網路可以連到微軟符號伺服器,再用 -vsym 看詳細的符號載入訊息判斷卡在哪一步。LIVEKDD.SYS 的符號警告請忽略,那是預期行為。其餘符號問題(路徑寫法、版本對不上、快取目錄權限)屬 WinDbg 通用議題,依符號路徑教學逐項排除即可。
情境三:你剛才動過 bcdedit,而系統開不起來
這種情況幾乎都不是 LiveKd 造成的(LiveKd 不改開機設定),而是你去啟用內建本機核心除錯時動到了開機組態。處置順序:
- 只要系統還進得了 Windows,就在 Windows 裡解決。 官方文件記載的
bcdedit用法,就是以系統管理員身分開啟命令提示字元後執行——把當初的bcdedit /debug on反過來下bcdedit /debug off,再重新開機。這是最乾淨的一條路,能走就走這條。 - 完全開不了機,才進修復環境(WinRE)。 連續開機失敗後 Windows 通常會自動進入 WinRE;進去後選「疑難排解 → 進階選項 → 命令提示字元」。
- ⚠️ 這一步請放慢:在 WinRE 裡直接下
bcdedit /debug off不保證會改到你要的那份開機組態——WinRE 環境中bcdedit預設操作的存放區未必是目標系統的 BCD,必要時得用bcdedit /store明確指定存放區路徑。微軟官方文件並未記載「在 WinRE 內以 bcdedit 關閉核心除錯」這個做法,這是社群通行的經驗步驟,站長照實標註,你自行斟酌。同一情境下,WinRE 的「啟動修復」與「系統還原」是官方提供的途徑,風險較低。 - BitLocker 的還原金鑰要不要輸入,分情況:依官方說明,在支援 PCR[7] 量測且 WinRE 未被修改的裝置上,TPM 驗證通過後可直接解鎖;但若 WinRE 環境被改過(例如 TPM 已停用),或你是用修復磁碟手動啟動 WinRE,就必須提供 BitLocker 還原金鑰才解得開。實務上你無法在事前確定會落到哪一種——所以前面的停止條件才要你先把金鑰拿在手上。
- 事後把先前為了改開機設定而停用的安全開機補回去。官方在該頁的原文是許可式的——「完成除錯並在本機停用核心除錯後,你可以重新啟用安全開機」;它沒有寫成強制要求,但站長的建議是務必補回,不要讓機器長期跑在關閉安全開機的狀態下。
💡 總結:進階玩法與底層邏輯
站長我把 LiveKd 歸類成「核心層的工作管理員」,而不是「除錯器」。它不是抓 bug 的第一現場,而是回答一個很具體的問題:現在這一刻,核心裡面到底在忙什麼?
三個實務用法值得記下來:
- 把它當抽樣工具。 系統慢的時候每隔幾分鐘用
-o存一份,事後比對集區用量與行程清單的變化趨勢。單一份快照不可靠,但一串快照的趨勢很可靠——這正好繞開了快照不一致的弱點。 - Hyper-V 那組參數不要浪費。 用
-hvl列出執行中的虛擬機器,再用-hv加-p暫停後抓一份,你就得到了一份品質接近正規傾印檔的虛擬機器核心快照,而且不必進到 VM 裡面裝任何東西。 -m不是預設有原因。 它會吃掉大量可用實體記憶體,在記憶體本來就吃緊的機器上開下去,你可能反而製造出新的問題。先用預設快照看,確定需要一致檢視再開-m。
兩個收尾提醒。第一,-o 存出來的檔案要當敏感檔案處理。 Sysinternals 官方部落格在 2026 年 7 月 9 日公告的 v5.65,更新重點就是保護產生的傾印檔不被非系統管理員身分的使用者讀取——微軟會特地補這一刀,正好說明那份檔案裡裝的是什麼等級的東西。更早版本產生的舊檔案不會因為你升級而回頭變安全,順手清一清。
第二,官方頁面自己也有沒維護到的地方,而且不只一處。 安裝段那條 Debugging Tools for Windows 連結還是舊 MSDN 網址(實測仍會正常轉址,能用);簡介段指向 www.microsoft.com/whdc/… 的那條實測已經是空的;而「除錯工具預設目錄」寫的仍是舊版的 \Program Files\Microsoft\Debugging Tools for Windows,跟你今天裝出來的 C:\Program Files (x86)\Windows Kits\10\Debuggers 對不上——這三件事都不影響 LiveKd 本身能不能跑,但會讓照著官方頁一步步做的人卡在莫名其妙的地方。本文所有指令、參數與限制,均以官方 LiveKd 說明頁(v5.65,2026 年 7 月 9 日更新)與微軟除錯器文件為準,查證日 2026-08-28。
❓ 常見問題
Q:LiveKd 跟直接用 WinDbg 開 dump 檔差在哪?
差在時間點與一致性。開 dump 檔看的是「當機那一瞬間」被凍結下來的完整狀態,資料彼此一致;LiveKd 看的是「現在」,但因為核心沒有停下來,快照可能無法呈現單一瞬間的狀態。要看已經發生的事故用 dump,要看正在發生的狀況用 LiveKd。
Q:Windows 內建的本機核心除錯不是免費又不用另外下載嗎?為什麼還要 LiveKd?
因為內建版本砍掉的指令太多。官方明列在本機核心除錯中不可用的指令包含 k 系列堆疊追蹤與 r 系列暫存器顯示,而 LiveKd 官方頁面直接把「可以用 !thread 檢視執行緒堆疊」列為它比內建功能多出來的能力。另外內建版本要改開機設定並重開機,官方還提醒可能得暫時停用 BitLocker 與安全開機。
Q:LiveKd 可以設中斷點、單步執行嗎?
站長的判斷是不行,理由是 LiveKd 餵給除錯器的是一份靜態的快照傾印檔,靜態檔案裡沒有可以「停下來再繼續跑」的目標——這是依原理推論,官方文件並沒有逐字寫下這句結論(官方那份「不可用指令清單」講的是內建的 kd -kl,不是 LiveKd)。需要真正的中斷點與單步,請走雙機核心除錯。
Q:一定要裝整套 Windows SDK 嗎?
不用。官方提供獨立安裝方式:啟動 Windows SDK 安裝程式,在功能清單裡只勾選 Debugging Tools for Windows,其餘全部取消勾選即可。
Q:這個方法在舊版本也適用嗎?
官方下載頁(v5.65,2026-07-09 更新)目前標示的執行環境是用戶端 Windows 11 以上、伺服器 Windows Server 2016 以上。個別參數另有下限:-m 鏡像傾印需要 Windows Vista 或 Windows Server 2008 以上,-ml 與 -hvd 需要 Windows 8.1 以上。更舊的系統請以當時對應版本的 LiveKd 與 SDK 為準。
🔗 延伸閱讀
- 當機藍屏一閃就重開?先關自動重新啟動、設好記憶體傾印再抓兇手
- IRQL_NOT_LESS_OR_EQUAL 0x0A 藍屏修復|WinDbg 揪真兇
- CRITICAL_STRUCTURE_CORRUPTION 0x109 藍屏怎麼修?讀懂 PatchGuard 與 Parameter 4,揪出偷改核心的兇手
- 電腦沒藍屏就自己重開機?Kernel-Power 41 是果不是因,教你揪真兇
- ProcDump 教學:抓出應用程式沒回應與當機瞬間的記憶體傾印檔
📎 參考資料來源
📖 第一級|廠商官方:
- LiveKd – Sysinternals — 2026-08-28 查證
- LiveKd v5.65, ProcDump v12.01, and ZoomIt v12.11(Sysinternals Blog) — 2026-08-28 查證
- Local Kernel-Mode Debugging — 2026-08-28 查證
- Setting Up Local Kernel Debugging of a Single Computer Manually — 2026-08-28 查證
- Debugging Tools for Windows SDK and WDK — 2026-08-28 查證
- Sysinternals Suite — 2026-08-28 查證
- Tools Included in Debugging Tools for Windows(除錯工具預設安裝路徑) — 2026-08-28 查證
- BitLocker recovery overview(WinRE 與還原金鑰條件) — 2026-08-28 查證
- BCDEdit /debug — 2026-08-28 查證
⚠️ 本文核心事實以第一級為準,第二級為補充。
📅 本文查證戳記:2026-08-28 依微軟官方文件撰寫(LiveKd 對照版本 v5.65,官方頁面 2026-07-09 更新),全文為官方文件交叉查證(E3),未含第一手實測數據。
若你在後續版本遇到步驟失效,歡迎在留言區回報,站長會更新文章。