ProcDump - Sysinternals | Microsoft Learn

Resumo — ProcDump v11.1 Por Mark Russinovich e Andrew Richards — Publicado: 13 de novembro de 2025

• O que é: ProcDump é uma ferramenta de linha de comando (Sysinternals) para monitorar processos e gerar dumps de memória quando ocorrem picos de CPU, exceções, janelas não responsivas ou condições de contadores de desempenho. Também pode ser usada como utilitário geral de geração de dumps em scripts.

• Downloads: há builds para Windows (ZIP oficial), e repositórios para Linux e Mac no GitHub:

  • https://download.sysinternals.com/files/Procdump.zip

  • https://github.com/microsoft/ProcDump-for-Linux

  • https://github.com/microsoft/ProcDump-for-Mac

• Tipos de dump principais:

  • -mm: mini dump (padrão) — pilhas e metadados.

  • -ma: full dump — toda a memória e metadados.

  • -mt: triage — pilhas e metadados limitados (tenta esconder dados sensíveis).

  • -mp: mini-plus — memória privada e imagens R/W; reduz tamanho excluindo grandes regiões.

  • -mc: custom — baseado em máscara MINIDUMP_TYPE.

  • -md: callback — usa rotina de callback de DLL.

  • -mk: inclui pilhas de kernel (restrições ao usar clone -r).

• Condições e gatilhos importantes:

  • CPU: -c (acima) / -cl (abaixo) com opção -u para por núcleo.

  • Memória: -m / -ml para commits.

  • Contadores de desempenho: -p / -pl com caminho do contador (ex.: \Process(Outlook)\Handle Count).

  • Exceções: -e (opcional 1 para first-chance), filtros -f / -fx, opções -ld/-ud, -ct/-et para thread create/exit.

  • Janela suspensa: -h (não responde por ≥5s).

  • Processo encerrado: -t.

  • Clonagem (-r) para reduzir interrupção (Windows 8.1+ usa PSS; Win7/8.0 usam Reflect).

• Opções úteis:

  • -n : número de dumps a gerar.

  • -s : segundos de condição antes de gerar (padrão 10).

  • -o: sobrescrever arquivos existentes.

  • -w: aguardar processo iniciar.

  • -x: iniciar processo na pasta de dumps.

  • -wer: enfileirar no Windows Error Reporting.

  • -accepteula: aceitar licença automaticamente.

  • -cancel ou criar evento ProcDump- para encerrar graciosamente.

• Nome dos arquivos: padrão PROCESSNAME_YYMMDD_HHMMSS.dmp; suporta substituições como PROCESSNAME, PID, EXCEPTIONCODE, AAMMDD, HHMMSS.

• Exemplos representativos:

  • procdump notepad — gera mini dump do notepad.

  • procdump -ma 4572 — full dump do PID 4572.

  • procdump -n 3 -s 5 -c 20 consume — até 3 dumps quando processo exceder 20% de CPU por 5s.

  • procdump -mp -e store.exe — MiniPlus quando ocorrer exceção não tratada.

  • procdump -ma -i c:\dumps — instalar ProcDump como depurador postmortem (AeDebug); procdump -u — desinstalar.

• Observações:

  • Contadores de instância podem exigir nome ou número de instância (ex.: \Process(name[#NNN])\Counter). Em sistemas antigos pode ser necessário incluir PID.

  • Para contadores \Process(*), recomenda-se usar Get-Counter no PowerShell para mapear PIDs.

  • Cuidado ao usar alta simultaneidade com -r (impacto em desempenho).

• Compatibilidade:

  • Cliente: Windows 11 e superior.

  • Servidor: Windows Server 2016 e superior.

• Recursos adicionais: episódios do podcast/show “Defrag Tools” sobre ProcDump (opções e gatilhos) e links para livros e guias de Sysinternals (Windows Internals, Windows Sysinternals Administrator Reference).

Se quiser, posso:

• Gerar uma versão curta (2–3 frases) para uso rápido.

• Extrair apenas as opções/flags mais relevantes em uma tabela ou checklist. Qual prefere?