windows监控 排查蓝屏问题

DUMP包分析

工具WinDbg，下载打开，按ctrl+S  输入：SRV*C:\websymbols*http://msdl.microsoft.com/download/symbols；点击OK，按ctrl+D，选择Dump文件。看process name。多天的可统计一下规律。

工具bluescreenview.exe，看下蓝屏代码。

---》进程分析工具：procexp.exe  procexp64.exe  分析占用cpu or  内存最大的 进程，双击查看其线程，启用的服务有哪些。

系统日志：计算机—管理—事件查看器—系统日志—windows日志—系统（或者其他日志），查看一下dump时刻，系统意外终止时间，之前在做什么，有哪些错误，有什么规律。

发现此机器是克隆机，windows克隆机，计算机名需要更改，否则它总是跟局域网内那个被克隆机计算机名冲突，没有的服务给它禁止掉，而且还需要改掉SID，如下：

更改SID后蓝屏\黑屏：

环境：Windows Server 2012 R2

目的：克隆出来的系统的SID都是一样，所以想修改各个系统的SID号

现象：克隆出来的系统的SID都是一样，所以想修改各个系统的SID号，需要跑Newsid进行对操作系统的Sid更新，在运行Newsid.exe并重启后，系统会蓝屏

解决办法：由于Sid机制的改动，Win2008在Sp2后不再支持用Newsid.exe来更新系统Sid。

正确的做法是：

　　1、命令行方式：启动Windows2008进入系统后，打开“CMD窗口”并进入到"C:\windows\system32\sysprep"目录后再输入“sysprep /generalize /oobe /reboot”重新配置SID

　　2、手动运行： 在Win2008以后的系统集成了sysprep工具,只要在C盘下搜索就能找到,路径为:c:\windows\system32\sysprep\sysprep.exe ，

　　　　　　　　　运行此指令后会弹出一下对画框,系统清理动作"进入系统全新体验(OOBE)",通用，开机选项"重新开机"

完成后可以用命令查看SID的改变

开始---运行--cmd---whoami /user

以前Win2003有修改SID的自带工具sysprep,这个工具在server 2012中是不可用的，运行会报错。