ID d'événement Windows 1001 – Rapport d'erreur Windows : Rapport de plantage d'application

Commencez par examiner les détails complets de l'événement pour comprendre le contexte du crash :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Application
3. Filtrez pour l'ID d'événement 1001 en cliquant avec le bouton droit sur le journal Application et en sélectionnant Filtrer le journal actuel
4. Entrez 1001 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 1001 le plus récent pour voir les informations détaillées
6. Enregistrez les détails clés suivants à partir des données de l'événement :
   • Nom et version de l'application défaillante
   • Nom et version du module défaillant
   • Code d'exception (par exemple, 0xc0000005 pour violation d'accès)
   • Décalage de la faute et adresse de base
7. Vérifiez l'onglet Détails pour des données XML supplémentaires qui peuvent contenir des informations sur le processus et le thread

PowerShell offre des capacités puissantes de filtrage et d'analyse pour les événements de crash :

1. Ouvrir PowerShell en tant qu'administrateur
2. Interroger les entrées récentes de l'ID d'événement 1001 avec des informations détaillées :

   Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1001} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Extraire des détails spécifiques sur le crash à partir des données de l'événement :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1001} -MaxEvents 50
   foreach ($Event in $Events) {
       $EventXML = [xml]$Event.ToXml()
       $AppName = $EventXML.Event.EventData.Data[0].'#text'
       $AppVersion = $EventXML.Event.EventData.Data[1].'#text'
       $ModuleName = $EventXML.Event.EventData.Data[3].'#text'
       Write-Host "$($Event.TimeCreated): $AppName v$AppVersion - Module: $ModuleName"
   }

4. Créer un rapport sommaire des applications qui plantent le plus fréquemment :

   Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1001} -MaxEvents 100 | 
   Group-Object {([xml]$_.ToXml()).Event.EventData.Data[0].'#text'} | 
   Sort-Object Count -Descending | 
   Select-Object Name, Count

5. Exporter les données de crash pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1001} | 
   Select-Object TimeCreated, Id, LevelDisplayName, Message | 
   Export-Csv -Path "C:\Temp\CrashReport.csv" -NoTypeInformation

Optimisez la configuration WER pour capturer des informations de crash plus détaillées :

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting
3. Créez ou modifiez les valeurs DWORD suivantes pour améliorer le rapport de crash :
   • DontSendAdditionalData = 0 (permet la collecte de données de crash supplémentaires)
   • LoggingDisabled = 0 (assure que la journalisation des crashs est activée)
   • MaxArchiveCount = 100 (augmente la rétention des dumps de crash)
4. Configurez la collecte locale des dumps de crash en accédant à HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps
5. Créez une nouvelle clé pour l'application spécifique rencontrant des crashs (par exemple, notepad.exe)
6. Sous la clé de l'application, créez ces valeurs DWORD :
   • DumpCount = 10 (nombre de dumps à conserver)
   • DumpType = 2 (dump mémoire complet)
   • DumpFolder = C:\CrashDumps (valeur REG_EXPAND_SZ)
7. Créez le dossier de dump : mkdir C:\CrashDumps
8. Redémarrez l'application concernée pour appliquer les nouveaux paramètres

Analyser les dépendances de l'application et les problèmes de compatibilité pouvant causer des plantages :

1. Utilisez Dependency Walker ou PowerShell pour examiner les dépendances de l'application :

   $AppPath = "C:\Program Files\YourApp\YourApp.exe"
   Get-Process | Where-Object {$_.Path -eq $AppPath} | Select-Object ProcessName, Id, Modules

2. Vérifiez les Redistribuables Visual C++ manquants ou obsolètes :

   Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -like "*Visual C++*"} | Select-Object Name, Version

3. Vérifiez les versions du .NET Framework si l'application est basée sur .NET :

   Get-ChildItem 'HKLM:SOFTWARE\Microsoft\NET Framework Setup\NDP' -Recurse | Get-ItemProperty -Name version -EA 0 | Where-Object {$_.PSChildName -Match '^(?!S)\p{L}'} | Select-Object PSChildName, version

4. Exécutez l'application en mode de compatibilité :
   • Cliquez avec le bouton droit sur l'exécutable de l'application
   • Sélectionnez Propriétés → onglet Compatibilité
   • Activez Exécuter ce programme en mode de compatibilité
   • Essayez les modes de compatibilité Windows 8 ou Windows 7
   • Activez Exécuter en tant qu'administrateur si nécessaire
5. Utilisez Application Verifier pour un débogage avancé :

   appverif.exe /verify YourApp.exe /flags 0x307

6. Vérifiez Windows Update pour les correctifs spécifiques à l'application :

   Get-WindowsUpdate -AcceptAll -Install -AutoReboot

Effectuez une analyse détaillée des vidages sur incident à l'aide des outils de débogage Windows :

1. Installez le SDK Windows ou téléchargez les outils de débogage pour Windows depuis Microsoft
2. Localisez les fichiers de vidage sur incident dans le dossier de vidage configuré ou l'emplacement par défaut :

   Get-ChildItem -Path "$env:LOCALAPPDATA\CrashDumps" -Filter "*.dmp" | Sort-Object LastWriteTime -Descending

3. Ouvrez le fichier de vidage le plus récent avec WinDbg :

   & "C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\windbg.exe" -z "C:\CrashDumps\YourApp.exe.1234.dmp"

4. Dans WinDbg, chargez les symboles et analysez le crash :

   .symfix
   .reload
   !analyze -v
   k
   lm

5. Examinez la pile d'appels et identifiez l'instruction défaillante :

   u @eip
   dd @esp
   !heap -p -a @eax

6. Générez un rapport d'analyse de crash détaillé :

   .logopen C:\Temp\crash_analysis.log
   !analyze -v
   kv
   lmv
   .logclose

7. Pour les applications gérées (.NET), utilisez des commandes supplémentaires :

   .loadby sos clr
   !clrstack
   !dumpheap -stat
   !pe