内存查看工具RAMMAP说明
内存查看工具RAMMAP说明
转载女王的禅师范 发布于2019-03-08 11:14:19 阅读数 2051 收藏
参考 Technet
Process Private: 分配给单一Process专用的内存
Mapped File: 用来储放档案内容快取(Cache)的内存空间
Shared Memory: 标注给多个Process共用的内存分页(Page，内存管理单位)
Page Table: 用来描述虚拟内存位址的分页表(裡面是一笔一笔的PTE，Page Table Entries)
Paged Pool: 允许移至硬盘的核心集区内存(Kernal Pool Memory)
Nonpaged Pool: 不允许移至硬盘的核心集区内存
System PTEs: 与I/O空间、核心堆叠、内存描述清单等系统分页相关的PTE
Session Private: 登入工作阶段相关的内存
Metafile: 是系统快取的一部份，包含NTFS Metadata(包含MFT及其他NTFS Metadata档案)。在MFT中，每个档案属性记录佔用1K，而一个档案至少有一个属性记录，再加上其他NTFS Metadata档，当档案数众多，这块会很快速成长。
AWE: 启用Address Windowing Extension技术所使用的相关内存空间(较常应用在SQL或其他DB)
Driver Locked: 驱动程式锁定的实体内存。多用于I/O的暂时性小量应用，如果有装RAMDisk，也会算在这一区。
Kernel Stack: 核心执行绪推叠，执行绪愈多，用量愈大。
每项分类都有以下栏位:
Active: 正在使用中的实体内存分页(Process Working Set或System Working Set)
Standby: 留在实体内存但暂不使用的分页，保留供后续能快速重覆利用
Modified: 与Standy类似，但内容被修改过，重覆使用前要先回写到硬盘机
Modified no write: 与Modified类似，但标注为不需回写到硬盘
Transition: 在分类之间转换的分页
Zeroed: 内容已清空可供使用的分页，系统刚开机时明显增加，随著使用一段时间逐步转为Standby
Free: 可以使用但残留先前资料的分页，使用前需先转为Zeroed
Bad: 标注损坏的内存**加粗样式**
