通過WinDbg結合AppVerifier， 我們可以詳細的跟蹤堆中new出來的每一塊內存。 很多時候在沒有源代碼的Release版本中，在程序運行一段時間后，如果我們發現有大內存或是大量同樣大小的小內存一直沒有釋放， 我們就可以用上面的方法進行分析和快速的定位問題。

在前面C++中基于Crt的內存泄漏檢測一文中提到的方法已經可以解決我們的大部分內存泄露問題了，但是該方法是有前提的，那就是一定要有源代碼，而且還只能是Debug版本調試模式下。實際上很多時候我們的程序會用到第三方沒有源代碼的模塊，有些情況下我們甚至懷疑系統模塊有內存泄露，但是有沒有證據，我們該怎么辦？ 這時我們就要依靠無所不能的WinDbg了。

WinDbg的!heap命令非常強大，結合AppVerifier可以對堆(heap)內存進行詳細的跟蹤和分析， 我們接下來對下面的代碼進行內存泄漏的分析：

首先下載安裝AppVerifier， 可到這里下載， 把我們需要測試的程序添加到AppVerifier的檢測列表中， 然后保存。

注: 我們這里用AppVerifier主要是為了打開頁堆(page heap)調試功能，你也可以用系統工具 gflags.exe 來做同樣的事。 

雙擊運行我們要調試的MemLeakTest.exe, 效果如下：


然后將WinDbg Attach上去， 輸入命令 !heap -p -a 0x02FC1FF8，結果如下：

怎么樣， 神奇吧？我們當分配該地址內存時的堆棧(stack)被完整地打印了出來。

當然有人很快會說：這是你知道內存地址的情況， 很多情況下我們是不知道該地址的，該如何分析？

對于這種情況， 我們首先需要明確一些概念， 我們new出來的內存是分配在堆上， 那一個進程里究竟有多少個堆， 每個模塊都有自己單獨的堆嗎？實際上一個進程可以有任意多個堆，我們可以通過CreateHeap創建自己單獨的堆， 然后通過HeapAlloc分配內存。 我們new出來的內存是crt(C運行庫)分配的， 那就涉及到crt究竟有多少個堆了？ crt有多少個堆由你編譯每個模塊(Dll/Exe)時的編譯選項決定， 如果你運行庫選項用的是/MD, 那就和其他模塊共享一個堆; 如果用/MT， 那就是自己單獨的堆。大部分情況下我們會用/MD，這樣我們在一個模塊里new內存, 另一個模塊里delete不會有問題， 因為大家共享一個堆。

明確這些概念之后， 我們看看我們的測試程序有多少個堆， 輸入!heap -p
可以看到我們的測試程序一共有4 個堆。

接下來我們的問題就是確定哪個是我們的crt堆， 也就是我們需要分析每個堆創建時的堆棧(stack)情況.

我們接下來分析最后一個堆， handle是2f00000， 輸入!heap -p -h 02f00000 分析該堆的內存分配情況

可以看到該堆 _DPH_HEAP_ROOT 結構的地址是 2f01000，通過dt命令打印該結構地址

可以看到StackTrace的地址是 0x0017cbe4， 通過dds命令打印該地址內的符號

現在我們可以看到該堆被Create時的完整堆棧了， 通過堆棧，我們可以看到該堆正是由crt創建的， 也就是說我們new的內存都分配在該堆內。

如果你覺得上面跟蹤堆創建的過程太復雜，可以先忽略， 下面我們分析堆狀態， 輸入!heap -stat -h 0，它會分析所有堆的當前使用狀態， 我們著重關注我們的crt堆02f00000：

我們可以看到排在第一位的是大小為0x9c40 (0n40000)的內存，分配了1次， 第二位的是大小為 0x14 (0n20) 的內存，分配了3ea (0n1002)次.
 回頭再看我們的測試程序，怎么樣？ 是不是感覺很熟悉了。

輸入!heap -flt s 0x9c40， 讓WinDbg列出所有大小為0x9c40的內存：

可以看到， WinDbg幫我們找到了一個符合要求的分配， 它的UserAddr是02fc63c0， 該地址實際上就是代碼char* pLargeMem = new char[40000]分配的地址， 按照開頭的方法， 輸入!heap -p -a 02fc63c0 

可以看到該堆棧就是我們new char[40000]的堆棧， 用同樣的方法， 我們可以分析出上面代碼for循環中的1000次內存泄漏。

最后， 總結一下， 通過WinDbg結合AppVerifier， 我們可以詳細的跟蹤堆中new出來的每一塊內存。 很多時候在沒有源代碼的Release版本中，在程序運行一段時間后，如果我們發現有大塊內存或是大量同樣大小的小內存一直沒有釋放，  我們就可以用上面的方法進行分析。有些情況下，我們甚至可以將 _CrtDumpMemoryLeaks()和WinDbg的!heap -p -a [address]命令結合起來使用， 由前者打印泄漏地址，后者分析調用堆棧，以便快速的定位問題。