QEMU DUMP Windows蓝屏源码分析

之前做沙箱项目的时候，在Windows虚拟机出现蓝屏，外部的QEMU可以DUMP的虚拟机的内存，但因为是纯内存，相当于数据，不是dmp文件，无法通过windbg分析崩溃的原因。

最近稍微研究了一下，发现QEMU其实是可以做到Windows 虚拟机蓝屏时，保存完整的崩溃信息。原来蓝屏dmp是由windows虚拟机来完成的任务，现在可以让虚拟机外部VMM QEMU来完成，这可以大大提升Windows驱动稳定性测试的效率。

本篇文档的环境是"半虚拟化状态的win10 x64+qemu 11.1+virtio-win-0.1.285"。

原理分析

一句话概括主要原理：半虚拟化模式下，Guest通过fw_cfg提供Windows DMP元数据，并由pvpani上报蓝屏事件，QEMU随后修复DMPHeader、封装虚拟机物理内存，生成标准DM文件。

Windows 蓝屏 DMP文件格式

在Windows的系统属性->启动和故障恢复->设置->写入调试信息中，可以看到蓝屏dump的类型有五种，分别是: 小内存转储核心内存转储完全内存转储自动内存转储活动内存转储。

这些类型的介绍详见文末的微软MSDN文档链接。QEMU 仅支持保存完全内存转储格式的dmp文件，包含了系统所需的所有内存。比如：给虚拟机分配了8G，qemu vmm保存的dmp文件大小也接近8G。x64 dmp文件的文件格式头文件如下：

typedef struct WinDumpPhyMemRun64 {    uint64_t BasePage;    uint64_t PageCount;} QEMU_PACKED WinDumpPhyMemRun64;typedef struct WinDumpPhyMemDesc64 {    uint32_t NumberOfRuns;    uint32_t unused;    uint64_t NumberOfPages;    WinDumpPhyMemRun64 Run[43];} QEMU_PACKED WinDumpPhyMemDesc64;typedef struct WinDumpHeader64 {    char Signature[4];  // "PAGE"    char ValidDump[4];  // "DU64"    uint32_t MajorVersion;  // OS 版本    uint32_t MinorVersion;  // OS 版本    uint64_t DirectoryTableBase; // CR3    uint64_t PfnDatabase;   // Windows PFN Database 的虚拟地址    uint64_t PsLoadedModuleList; // 已加载内核模块链表头地址    uint64_t PsActiveProcessHead; //  活动进程双向链表头地址    uint32_t MachineImageType;  // 目标 CPU 架构，IMAGE_FILE_MACHINE_AMD64 = 0x8664    uint32_t NumberProcessors;  // CPU 核心数    union {        struct {            uint32_t BugcheckCode;  // 崩溃代码            uint32_t unused0;            uint64_t BugcheckParameter1;    // 崩溃参数            uint64_t BugcheckParameter2;    // 崩溃参数            uint64_t BugcheckParameter3;    // 崩溃参数            uint64_t BugcheckParameter4;    // 崩溃参数        };        uint8_t BugcheckData[40];    };      uint8_t VersionUser[32];    // Windows 版本相关的用户可读字符串区域    uint64_t KdDebuggerDataBlock;   // KDDEBUGGER_DATA64 / KDBG 的地址    union {        WinDumpPhyMemDesc64 PhysicalMemoryBlock;        uint8_t PhysicalMemoryBlockBuffer[704];    };   // 物理内存布局描述    union {        uint8_t ContextBuffer[3000];    }; // CPU Context 保存区域, 通常用于存储发生 BugCheck     // 时某个处理器的CONTEXT / trap context    WinDumpExceptionRecord Exception; // 异常信息描述    uint32_t DumpType;  // full dump(1), kernel dump(2), Small memory dump(3)    uint32_t unused1;   // 对齐/保留字段    uint64_t RequiredDumpSpace;     // 创建完整dump所需的空间大小，约等于保存的dmp文件的大小    uint64_t SystemTime;    // 发生崩溃时的时间，时间戳    char Comment[128];      // Dump 注释字符串    uint64_t SystemUpTime;  // 系统运行时间，以ns为单位    uint32_t MiniDumpFields;    //  Minidump 相关 flags     uint32_t SecondaryDataState;  // Secondary dump data 的状态, Windows BugCheck 过程中允许某些组件通过secondary dump data callback 向 dump 写入附加信息。    uint32_t ProductType;   // Windows 产品类型(WorkStation, Server, etc.)    uint32_t SuiteMask;       // Windows Product Suite Mask，用于描述系统 SKU / suite 属性    uint32_t WriterStatus;   // 是否dump成功    uint8_t unused2;                // 对齐/保留字段    uint8_t KdSecondaryVersion;     // Kernel Debugger secondary version，与 KD/KDBG 结构版本相关    uint8_t reserved[4018];         // Header 尾部保留空间} QEMU_PACKED WinDumpHeader64;

上述结构体中提到另一个kdbg的地址，这个结构体的内容见qemu项目的contrib/elf2dmp/kdbg.h头文件。

三个组件

fwcfg 和 vmcoreinfo

fwcfg(firmware configuration)是qemu与虚拟机进行小规模数据通信的硬件，主要是一些配置信息。而vmcoreinfo设备用于在fwcfg添加一个名为etc/vmcoreinfo的entry，这个entry存储这调试元数据的信息，结构体的定义如下：

typedef struct VMCOREINFO{    UINT16 host_fmt; // 宿主机QEMU支持的格式版本    UINT16 guest_fmt; // 客户机声明自己输出的格式版本    UINT32 size; // 存储元数据信息的大小    UINT64 paddr; // 存储元数据信息的物理地址(GPA)} VMCOREINFO, *PVMCOREINFO;

不同的操作系统不一样，对于Windows来说，paddr地址存储的是蓝屏上下文信息。

pvpanic

在windows虚拟机出现蓝屏时，pvpanic驱动会通过pvpanic设备将崩溃信号发送给qemu。由于virtio-win是开源的，可以清楚地看到该设备驱动的工作原理。

在pvpanic.c文件中，PVPanicEvtDevicePrepareHardware扫描当前机器中添加的pvpanic设备，PVPanicEvtDeviceD0Entry注册蓝屏崩溃的回调函数PVPanicOnBugCheck和PVPanicOnDumpBugCheck，在出现蓝屏时调用PVPanicOnBugCheck和PVPanicOnDumpBugCheck，向设备写入PVPANIC_PANICKED和PVPANIC_CRASHLOADED。PVPanicOnBugCheck函数的代码如下：

VOID PVPanicOnBugCheck(IN PVOID Buffer, IN ULONG Length){    // Trigger the PVPANIC_PANICKED event if the crash dump isn't enabled,    if ((Buffer != NULL) && (Length == sizeof(PVOID)) && !bEmitCrashLoadedEvent)    {        if (BusType & PVPANIC_PCI)        {            *(PUCHAR)Buffer = (UCHAR)(PVPANIC_PANICKED);        }        else        {            WRITE_PORT_UCHAR((PUCHAR)Buffer, (UCHAR)(PVPANIC_PANICKED));        }    }}

PVPanicOnDumpBugChecl函数的代码如下：

VOID PVPanicOnDumpBugCheck(KBUGCHECK_CALLBACK_REASON Reason,                           PKBUGCHECK_REASON_CALLBACK_RECORD Record,                           PVOID Data,                           ULONG Length){    UNREFERENCED_PARAMETER(Data);    UNREFERENCED_PARAMETER(Length);    // Trigger the PVPANIC_CRASHLOADED event before the crash dump.    if ((PvPanicPortOrMemAddress != NULL) && (Reason == KbCallbackDumpIo) && !bEmitCrashLoadedEvent)    {        if (BusType & PVPANIC_PCI)        {            *PvPanicPortOrMemAddress = (UCHAR)(PVPANIC_CRASHLOADED);        }        else        {            WRITE_PORT_UCHAR(PvPanicPortOrMemAddress, (UCHAR)(PVPANIC_CRASHLOADED));        }        bEmitCrashLoadedEvent = TRUE;    }    // Deregister BugCheckReasonCallback after PVPANIC_CRASHLOADED is triggered.    if (bEmitCrashLoadedEvent)    {        KeDeregisterBugCheckReasonCallback(Record);    }}

这两个函数的区别是：

PVPanicOnBugCheck，是通过KeRegisterBugCheckCallback注册的，在Windows nt内核保存dmp文件之后调用。
PVPanicOnDumpBugCheck，是通过KeRegisterBugCheckReasonCallback注册的，在Windows nt内核保存dmp文件之前调用。

qemu设备后端调用hw/misc/pvpanic.c:pvpanic_write进行处理。

QEMU 保存崩溃信息过程

guest vm启动时需要指定qmp socket，客户端连接这个socket可以对qemu进行一些控制，比如：dump 客户机的内存。增加-device pvpanic -device vmcoreinfo参数，表示增加papanic和vmcoreinfo设备，注册etc/vmcoreinfo fwcfg条目，fwcfg是默认被添加的。

guest 虚拟机在virtio-win中安装pvpanic和fwcfg驱动，安装fwcfg驱动会匹配etc/vmcoreinfo条目。
重启guest系统。pvpanic会注册一些蓝屏崩溃时的函数调用，前文已经介绍了。fwcfg驱动会向etc/vmcoreinfo条目写入dump header信息，如下:

{    NTSTATUS status;    PUCHAR hdr_buf;    ULONG bufSizeNeeded;    TraceEvents(TRACE_LEVEL_VERBOSE, DBG_ALL, "Obtaining header");    hdr_buf = (PUCHAR)ctx->vmci_data.pNote + FIELD_OFFSET(VMCI_ELF64_NOTE, n_desc);    // DUMP_TYPE_FULL是KeInitializeCrashDumpHeader唯一支持的参数，将dump header信息写入到VMCI_ELF64_NOTE的n_desc字段中    status = KeInitializeCrashDumpHeader(DUMP_TYPE_FULL, 0, hdr_buf, DUMP_HDR_SIZE, &bufSizeNeeded);     if (!NT_SUCCESS(status))    {        TraceEvents(TRACE_LEVEL_ERROR, DBG_ALL, "Failed to obtain header");        return status;    }    /*     * Original KDBG pointer was saved in header by system.     * BugcheckParameter1 field is unused in live system and will be filled by QEMU.     * So the pointer to decoded KDBG can be stored in this field.     */#ifdef _AMD64_    *(PULONG64)(hdr_buf + DUMP_HDR_OFFSET_BUGCHECK_PARAM1) = (ULONG64)ctx->kdbg;#else    *(PULONG32)(hdr_buf + DUMP_HDR_OFFSET_BUGCHECK_PARAM1) = (ULONG32)ctx->kdbg;#endif    return status;}

KeInitializeCrashDumpHeader仅支持DUMP_TYPE_FULL类型的dmp header，这也是前文说qemu仅支持完全内存转储的dmp文件。然后发送16字节的VMCOREINFO结构体信息到qemu

NTSTATUS VMCoreInfoSend(PDEVICE_CONTEXT ctx){    NTSTATUS status;    TraceEvents(TRACE_LEVEL_VERBOSE, DBG_ALL, "Sending header");    status = FWCfgDmaSend(ctx->ioBase,                   ctx->vmci_data.vmci_pa, // 发送的内容地址                   ctx->index,                   sizeof(VMCOREINFO),   // 发送的内容大小                   ctx->dma_access,                   ctx->dma_access_pa);    return status;}

在Windows虚拟机出现蓝屏时，虚拟机中的pvpanic驱动发送信号到qemu的pvpanic设备后端，然后qemu发送事件为GUEST_CRASHLOADED json至socket连接的qmp socket客户端。

socket客户端得知出现蓝屏，先发送stop命令停止当前虚拟机，然后发送dump-guest-memory进行dmp文件的生成。相关日志信息如下：

QMP <- 表示qemu发送给qmp socket 客户端的QMP -> 表示qmp socket客户端发送给qemu[2026-08-24 10:42:17.959774437] QMP <- {"timestamp": {"seconds": 1787539337, "microseconds": 957146}, "event": "GUEST_CRASHLOADED", "data": {"action": "run"}}Detected GUEST_CRASHLOADED; stopping the VM...[2026-08-24 10:42:17.963777572] QMP -> {"execute":"stop","id":"stop-for-crash-dump"}[2026-08-24 10:42:17.973297088] QMP <- {"timestamp": {"seconds": 1787539337, "microseconds": 970705}, "event": "STOP"}[2026-08-24 10:42:17.987382972] QMP <- {"return": {}, "id": "stop-for-crash-dump"}[2026-08-24 10:42:17.991833617] QMP -> {"execute":"query-dump-guest-memory-capability","id":"dump-capability"}[2026-08-24 10:42:17.997739832] QMP <- {"return": {"formats": ["elf", "kdump-zlib", "kdump-raw-zlib", "win-dmp"]}, "id": "dump-capability"}Writing Windows crash dump: /home/bill/Code/qemu/dumps/win10-crash-20260824-104218-003627311.dmp[2026-08-24 10:42:18.8839861] QMP -> {"execute":"dump-guest-memory","arguments":{"paging":false,"protocol":"file:/home/bill/Code/qemu/dumps/win10-crash-20260824-104218-003627311.dmp.partial","format":"win-dmp","detach":false},"id":"crash-dump-20900"}[2026-08-24 10:42:19.81280342] QMP <- {"timestamp": {"seconds": 1787539339, "microseconds": 78472}, "event": "DUMP_COMPLETED", "data": {"result": {"total": 4288331776, "status": "completed", "completed": 4288331776}}}[2026-08-24 10:42:19.85180214] QMP <- {"return": {}, "id": "crash-dump-20900"}Crash dump completed: /home/bill/Code/qemu/dumps/win10-crash-20260824-104218-003627311.dmpResuming the VM so Windows can finish its crash/reboot path...[2026-08-24 10:42:19.99930887] QMP -> {"execute":"cont","id":"resume-after-crash-dump"}[2026-08-24 10:42:19.105006001] QMP <- {"timestamp": {"seconds": 1787539339, "microseconds": 102036}, "event": "RESUME"}[2026-08-24 10:42:19.109389402] QMP <- {"return": {}, "id": "resume-after-crash-dump"}

这个dmp文件是在虚拟机中调用notmyfault触发的蓝屏，windbg分析的结果如下：

********************************************************************************                                                                             **                        Bugcheck Analysis                                    **                                                                             ********************************************************************************PAGE_FAULT_IN_NONPAGED_AREA (50)Invalid system memory was referenced.  This cannot be protected by try-except.Typically the address is just plain bad or it is pointing at freed memory.Arguments:Arg1: fffff805510bbc90, memory referenced.Arg2: 0000000000000003, X64: bit 0 set if the fault was due to a not-present PTE.    bit 1 is set if the fault was due to a write, clear if a read.    bit 3 is set if the processor decided the fault was due to a corrupted PTE.    bit 4 is set if the fault was due to attempted execute of a no-execute PTE.    - ARM64: bit 1 is set if the fault was due to a write, clear if a read.    bit 3 is set if the fault was due to attempted execute of a no-execute PTE.Arg3: fffff8054d981a61, If non-zero, the instruction address which referenced the bad memory    address.Arg4: 0000000000000002, (reserved)Debugging Details:------------------Unable to load image \??\C:\Windows\system32\drivers\myfault.sys, Win32 error 0n2BUGCHECK_CODE:  50BUGCHECK_P1: fffff805510bbc90BUGCHECK_P2: 3BUGCHECK_P3: fffff8054d981a61BUGCHECK_P4: 2FILE_IN_CAB:  win10-crash-20260824-104218-003627311.dmpWRITE_ADDRESS: unable to get nt!PspSessionIdBitmap fffff805510bbc90 MM_INTERNAL_CODE:  2IMAGE_NAME:  myfault.sysMODULE_NAME: myfaultFAULTING_MODULE: fffff8054d980000 myfaultPROCESS_NAME:  System

QEMU dmp文件生成源码分析

前文介绍了qemu，win虚拟机和qmp socket客户端的交互过程，本节深入分析一下qemu如何生成dmp文件的。dump-guest-memory命令对应的代码都在dump目录中，其中的文件如下：

bill@bill:~/Code/qemu/dump$ ls -alhttotal 112Kdrwxrwxr-x 67 bill bill 4.0K Aug 24 10:37 ..drwxrwxr-x  2 bill bill 4.0K Aug 20 09:44 .-rw-rw-r--  1 bill bill  214 Aug 20 09:44 meson.build-rw-rw-r--  1 bill bill  361 Aug 20 09:44 win_dump-stubs.c-rw-rw-r--  1 bill bill 3.0K Aug 20 09:44 dump-hmp-cmds.c-rw-rw-r--  1 bill bill  459 Aug 20 09:44 win_dump.h-rw-rw-r--  1 bill bill  16K Aug 20 09:44 win_dump-x86.c-rw-rw-r--  1 bill bill  67K Aug 20 09:44 dump.c-rw-rw-r--  1 bill bill  115 Aug 20 09:44 Kconfig

从dump.c中可以看到，最终生成dmp文件调用的是dump/win_dump-x86.c中的create_win_dump函数。这个函数分析分析如下：

patch dmp header信息

 if (s->guest_note_size != VMCOREINFO_WIN_DUMP_NOTE_SIZE32 &&            s->guest_note_size != VMCOREINFO_WIN_DUMP_NOTE_SIZE64) {        error_setg(errp, "win-dump: invalid vmcoreinfo note size");        return;    }// check dump header的常量字符串    if (!check_header(h, &x64, &local_err)) {        error_propagate(errp, local_err);        return;    }    hdr_size = x64 ? sizeof(WinDumpHeader64) : sizeof(WinDumpHeader32);    /*     * Further access to kernel structures by virtual addresses     * should be made from system context.     */// 设置cr3    first_x86_cpu->env.cr[3] = WIN_DUMP_FIELD(DirectoryTableBase);// check kdbg信息    check_kdbg(h, x64, &local_err);    if (local_err) {        error_propagate(errp, local_err);        goto out_cr3;    }

patch dmp header信息

在fwcfg驱动中写入到etc/vmcoreinfo的信息中是dmp header，但其中的错误码、CPU信息和pfn等实时信息需要在崩溃时从kdbg中获取对应的信息进行修复。这也是为什么virtio-win驱动中一定要获取到kdbg指针的原因，没有这个指针无法修复一个正常dmp文件的header。

// 1. 修复RequiredDumpSpace// 2. 修复pfn database// 3. 修复崩溃上下文信息，从kdbg中获取BugCheckData写入到dmp header中。patch_header(h, x64);   // saved_ctx = g_new(struct saved_context, WIN_DUMP_FIELD(NumberProcessors));/** Always patch context because there is no way* to determine if the system-saved context is valid*/// 从kdbg + KDBG_KI_PROCESSOR_BLOCK_OFFSET中获取KiProcessorBlock(PRCB*[])-> prcb + // KDBG_OFFSET_PRCB_CONTEXT_OFFSET-> context// 修复dmp header的上下文信息patch_and_save_context(h, x64, saved_ctx, &local_err);if (local_err) {    error_propagate(errp, local_err);    goto out_free;}

写入guest的内存写入到dmp文件

    s->total_size = WIN_DUMP_FIELD(RequiredDumpSpace);    s->written_size = qemu_write_full(s->fd, h, hdr_size);    if (s->written_size != hdr_size) {        error_setg_errno(errp, errno, "win-dump: failed to write header");        goto out_restore;    }// 遍历虚拟机所有内存，写入到dmp文件    write_runs(s, h, x64, &local_err);    if (local_err) {        error_propagate(errp, local_err);        goto out_restore;    }

总结

本文分析半虚拟化下的Windows Guest虚拟机蓝屏dmp文件被qemu保存的原理。virtio fwcfg通过etc/vmcoreinfo传递dmp header信息，pvpanic传递系统蓝屏信号，qemu dump-guest-memory功能根据之前的信息保存dmp文件。虽然virtio fwcfg 通过etc/vmcoreinfo传递了dmp header信息，但此时并没有出现蓝屏，因此需要对dmp header进行修复。修复的字段包括：bug check data，cpu context pfn cr3和RequiredDumpSpace，修复的数据来源是从kdbg中获取的。

参考链接

dmp type：https://learn.microsoft.com/en-us/troubleshoot/windows-server/performance/memory-dump-file-options

pvpanic：https://www.qemu.org/docs/master/specs/pvpanic.html

virtio-win：https://github.com/virtio-win/kvm-guest-drivers-windows