如何自动定位Windows内核驱动中WDFMEMORY对象的内存泄漏？

1. 利用WDF内置诊断能力 #

• 开启WDF验证模式：通过注册表设置HKLM\SYSTEM\CurrentControlSet\Services\<你的驱动名>\Parameters\Wdf\VerifyLevel为0x1及以上，或用devcon工具加载驱动时启用验证。WDF会自动检测未释放的WDFMEMORY对象，在调试输出中打印泄漏细节，甚至触发断言终止驱动，便于捕获现场。
• 执行!wdfmemorylist调试命令：在内存转储或实时调试中运行!wdfmemorylist drvr.sys，列出所有活跃WDFMEMORY对象，再配合!wdfobject <对象句柄>查看对象的创建调用栈（需提前开启栈跟踪），快速定位重复创建未释放的代码路径。

2. 开启栈跟踪与动态断点 #

• 启用WDF栈跟踪：编译驱动时定义WDF_ENABLE_STACK_TRACING宏，或在调试会话中执行!wdfsetoptions 0x4开启。每个WDFMEMORY对象的创建栈会被记录，后续用!wdfobject命令即可查看创建该内存的完整调用栈，直接锁定泄漏源头。
• 设置动态断点：在实时调试中用bp WdfMemoryCreate设置断点，每次触发时记录调用栈和对象句柄；同时监控WdfMemoryDelete的调用，对比两者的句柄匹配情况，找出未被释放的对象对应的创建栈。

3. 编写自动化调试脚本 #

• WinDbg脚本遍历统计：用WinDbg的JavaScript或NatVis脚本，遍历所有WDFMEMORY对象，统计每个创建栈的出现次数，输出次数异常偏高的栈帧，自动筛选潜在泄漏点。脚本可调用!wdfdriverinfo获取对象列表，逐个解析栈信息并计数。
• ETW事件对比：启用Microsoft-Windows-Wdf的ETW事件，捕获WdfMemoryCreate和WdfMemoryDelete事件，用tracerpt工具解析日志，对比两类事件的数量及关联对象ID，定位无对应Delete操作的Create场景。

4. 驱动验证器强化监控 #

• 启用内存池跟踪：在Driver Verifier中勾选「Pool Tracking」和「Force IRQL Checking」选项，配合WDF验证功能。驱动验证器会全程监控内核内存分配（包括WDFMEMORY封装的内存），泄漏发生时生成的转储会包含详细的分配栈信息，直接指向未释放的代码位置。

内容的提问来源于stack exchange，提问作者c00000fd