蓝屏分析

news/2024/11/18 7:48:24/文章来源:https://www.cnblogs.com/murkuo/p/18199518

04蓝屏分析

直接上蓝屏代码

#include <ntifs.h>VOID Unload(PDRIVER_OBJECT pDriver)
{DbgPrint("Driver Unload\r\n");
}NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pReg)
{pDriver->DriverUnload = Unload;//DbgBreakPoint();DbgPrint("Driver Load\r\n");int* x = 0;//指针x指向的是地址0x00000000*x = 100;//向0x00000000地址处写入100数据，会引发异常return STATUS_SUCCESS;
}

这里可以看到指针x指向的是0x00000000

单步一下，崩掉了

kd> p*** Fatal System Error: 0x0000007e(0xC0000005,0xAE916026,0x91776904,0x91776370)A fatal system error has occurred.
Debugger entered on first try; Bugcheck callbacks have not been invoked.A fatal system error has occurred.nt!RtlpBreakWithStatusInstruction:
8406bd8c cc              int     3

双机调试

这里我是用的原版Windbg不知道为什么总是出不来!analysize -v所以我又用Windbg Preview调了一下，下面是Windbg Preview的!analyze -v输出信息

kd> !analyze -v
Connected to Windows 7 7601 x86 compatible target at (Sat Jan  7 21:09:04.397 2023 (UTC + 8:00)), ptr64 FALSE
Loading Kernel Symbols
.............Press ctrl-c (cdb, kd, ntsd) or ctrl-break (windbg) to abort symbol loads that take too long.
Run !sym noisy before .reload to track down problems loading symbols...................................................
................................................................
.................................
Loading User SymbolsLoading unloaded module list
............
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************SYSTEM_THREAD_EXCEPTION_NOT_HANDLED (7e)
This is a very common BugCheck.  Usually the exception address pinpoints
the driver/function that caused the problem.  Always note this address
as well as the link date of the driver/image that contains this address.
Arguments:
Arg1: c0000005, The exception code that was not handled
Arg2: b42bf025, The address that the exception occurred at
Arg3: 9344890c, Exception Record Address
Arg4: 93448370, Context Record AddressDebugging Details:
------------------KEY_VALUES_STRING: 1Key  : AV.DereferenceValue: NullPtrKey  : AV.FaultValue: WriteKey  : Analysis.CPU.mSecValue: 1077Key  : Analysis.DebugAnalysisManagerValue: CreateKey  : Analysis.Elapsed.mSecValue: 174659Key  : Analysis.IO.Other.MbValue: 4Key  : Analysis.IO.Read.MbValue: 1Key  : Analysis.IO.Write.MbValue: 7Key  : Analysis.Init.CPU.mSecValue: 1874Key  : Analysis.Init.Elapsed.mSecValue: 137328Key  : Analysis.Memory.CommitPeak.MbValue: 78Key  : Bugcheck.Code.DumpHeaderValue: 0x7eKey  : Bugcheck.Code.KiBugCheckDataValue: 0x7eKey  : WER.OS.BranchValue: win7sp1_ldr_escrowKey  : WER.OS.TimestampValue: 2018-03-30T16:00:00ZKey  : WER.OS.VersionValue: 7.1.7601.24094BUGCHECK_CODE:  7eBUGCHECK_P1: ffffffffc0000005BUGCHECK_P2: ffffffffb42bf025BUGCHECK_P3: ffffffff9344890cBUGCHECK_P4: ffffffff93448370EXCEPTION_RECORD:  9344890c -- (.exr 0xffffffff9344890c)
ExceptionAddress: b42bf025 (MyDriver10!DriverEntry+0x00000025)ExceptionCode: c0000005 (Access violation)ExceptionFlags: 00000000
NumberParameters: 2Parameter[0]: 00000001Parameter[1]: 00000000
Attempt to write to address 00000000CONTEXT:  93448370 -- (.cxr 0xffffffff93448370)
eax=00000000 ebx=00000000 ecx=00000000 edx=0000000d esi=88980a98 edi=87162000
eip=b42bf025 esp=934489d4 ebp=934489d8 iopl=0         nv up ei ng nz na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010286
MyDriver10!DriverEntry+0x25:
b42bf025 c70164000000    mov     dword ptr [ecx],64h  ds:0023:00000000=????????
Resetting default scopePROCESS_NAME:  SystemWRITE_ADDRESS:  00000000 ERROR_CODE: (NTSTATUS) 0xc0000005 - 0x%p            0x%p                    %sEXCEPTION_CODE_STR:  c0000005EXCEPTION_PARAMETER1:  00000001EXCEPTION_PARAMETER2:  00000000EXCEPTION_STR:  0xc0000005STACK_TEXT:  
934489d8 84212986     88980a98 87162000 00000000 MyDriver10!DriverEntry+0x25 [C:\Users\MuRKuo\source\repos\MyDriver10\main.c @ 14] 
93448bbc 841faaa0     00000001 00000000 93448be4 nt!IopLoadDriver+0x7ed
93448c00 840b43e3     83b59bd0 00000000 8894f9c0 nt!IopLoadUnloadDriver+0x70
93448c50 84241906     80000001 a9cb5ac9 00000000 nt!ExpWorkerThread+0x10d
93448c90 840e2e0d     840b42d6 80000001 00000000 nt!PspSystemThreadStartup+0x9e
00000000 00000000     00000000 00000000 00000000 nt!KiThreadStartup+0x19FAULTING_SOURCE_LINE:  C:\Users\MuRKuo\source\repos\MyDriver10\main.cFAULTING_SOURCE_FILE:  C:\Users\MuRKuo\source\repos\MyDriver10\main.cFAULTING_SOURCE_LINE_NUMBER:  14FAULTING_SOURCE_CODE:  10: 	pDriver->DriverUnload = Unload;11: 	//DbgBreakPoint();12: 	DbgPrint("Driver Load\r\n");13: 	int* x = 0;//????x???¨°???????¡¤0x00000000
>   14: 	*x = 100;//?¨°0x00000000???¡¤??????100???????¨¢??¡¤??¨¬??15: 	return STATUS_SUCCESS;16: }SYMBOL_NAME:  MyDriver10!DriverEntry+25MODULE_NAME: MyDriver10IMAGE_NAME:  MyDriver10.sysSTACK_COMMAND:  .cxr 0xffffffff93448370 ; kbFAILURE_BUCKET_ID:  0x7E_MyDriver10!DriverEntry+25OS_VERSION:  7.1.7601.24094BUILDLAB_STR:  win7sp1_ldr_escrowOSPLATFORM_TYPE:  x86OSNAME:  Windows 7FAILURE_ID_HASH:  {f7940179-d75c-5c40-e993-537b8464fd03}Followup:     MachineOwner
---------

可以清楚的看到导致系统崩掉的驱动详细信息

BugCode 7e (有源代码)

转储文件分析

我们g一下让他继续运行

可以看到现在正在dump内存

等他dump完会输出complete的

之后我们让虚拟机重启

去虚拟机的控制面板->系统和安全->系统

按照如上步骤可以找到存储的崩溃转储文件

我这个核心内存转储的dmp文件在Windbg中打开后基本和直接调试是没啥区别的，除了标题换成了本地，其他的基本没变化

这里我们假装这个转储不正确，手动调试一下看看

kd> r //查看寄存器
eax=841878e4 ebx=00000000 ecx=00000003 edx=00000000 esi=80b96120 edi=00000000
eip=8412b3b8 esp=93448218 ebp=93448230 iopl=0         nv up ei pl nz na po nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00000202
nt!KeBugCheckEx+0x1e:
8412b3b8 cc              int     3
kd> dds 93448218 //树形打印从esp开始的栈
VirtualToOffset: 93448218 not properly sign extended
93448218  0000007e
9344821c  c0000005
93448220  b42bf025 MyDriver10!DriverEntry+0x25 [C:\Users\MuRKuo\source\repos\MyDriver10\main.c @ 14]
93448224  9344890c
93448228  93448370
9344822c  00000000
93448230  93448c90
93448234  84241946 nt!PspSystemThreadStartup+0xde
93448238  0000007e
9344823c  c0000005
93448240  b42bf025 MyDriver10!DriverEntry+0x25 [C:\Users\MuRKuo\source\repos\MyDriver10\main.c @ 14]
93448244  9344890c
93448248  93448370
9344824c  840b10e4 nt!_EH4_CallFilterFunc+0x12
93448250  00000000
93448254  93448c90
93448258  840a70d0 nt! ?? ::FNODOBFM::`string'+0x3270
9344825c  93448284
93448260  8410ee85 nt!_except_handler4+0x8e
93448264  00000000
93448268  00000000
9344826c  00000000
93448270  9344890c
93448274  93448370
93448278  840a70e0 nt! ?? ::FNODOBFM::`string'+0x3280
9344827c  00000001
93448280  00056000
93448284  934482a8
93448288  840aede2 nt!ExecuteHandler2+0x26
9344828c  fffffffe
93448290  93448c80
93448294  93448370

这里我们先获取了崩溃前的ESP的值，然后通过dds指令(树形排列堆栈)的方式获取崩溃前的栈中的情况

从中栈的底部可以很明显的看到崩溃前执行的驱动信息等，例如下面这段

93448220  b42bf025 MyDriver10!DriverEntry+0x25 [C:\Users\MuRKuo\source\repos\MyDriver10\main.c @ 14]

从中就可以看到最后执行到了我们驱动的第14行，而驱动源文件的第14行也确实是崩溃的地方

	*x = 100;//向0x00000000地址处写入100数据，会引发异常

使用!analyze -v可以看到一堆的信息输出

其中有一行BugCheck_Code

这时候可以去微软官方查找一下这是什么错误

https://learn.microsoft.com/zh-cn/windows-hardware/drivers/debugger/bug-check-code-reference2

从中就可以得到关于这个崩溃的一些详细信息

根据如下的参数，可以去Windbg看每个参数对应了什么

SYSTEM_THREAD_EXCEPTION_NOT_HANDLED参数

参数 说明
1 未处理的异常代码。
2 发生异常的地址。
3 异常记录的地址。
4 上下文记录的地址。 
BUGCHECK_CODE:  7eBUGCHECK_P1: ffffffffc0000005BUGCHECK_P2: ffffffffb42bf025BUGCHECK_P3: ffffffff9344890cBUGCHECK_P4: ffffffff93448370

其中P1-P4和上图的参数对应

可以看到对应的代码出错的地方

这个有源代码比较简单就不看了

BugCode 8e

看一下转储文件的BugCode

FILE_IN_CAB:  032821-18891-01.dmpBUGCHECK_CODE:  8eBUGCHECK_P1: ffffffffc0000005BUGCHECK_P2: ffffffff83ee33f5BUGCHECK_P3: ffffffff8376765cBUGCHECK_P4: 0

先去官网看一下对应的参数

KERNEL_MODE_EXCEPTION_NOT_HANDLED 参数

参数 说明
1 未处理的异常代码
2 发生异常的地址
3 捕获帧
4 保留

看一下发生异常的地址

根据官方的如下说明

KERNEL_MODE_EXCEPTION_NOT_HANDLED bug 检查是一个非常常见的 bug 检查。 若要对其进行解释，必须确定生成的具体异常。

常见的异常代码包括：

  • 0x80000002： STATUS_DATATYPE_MISALIGNMENT 指示遇到了未对齐的数据引用。
  • 0x80000003： STATUS_BREAKPOINT 指示在没有内核调试器附加到系统时遇到断点或断言。
  • 0xC0000005： STATUS_ACCESS_VIOLATION 指示发生了内存访问冲突。

这里可以对应上我们的BugCode的P1的BUGCHECK_P1: ffffffffc0000005

也就是C005

说明是发生了内存访问冲突

总之这个转储文件反映出的问题就是在ffffffff83ee33f5地址处出现了内存访问冲突

83ee33f5 8b0a            mov     ecx,dword ptr [edx]  ds:0023:00000124=????????

Windbg也写得很清楚，[EAX]中的值没有读取到，原因是出现了内存访问冲突

同时这里也可以去ntkrnlpa里面看一下

BugCode 7e

对应一下参数

BUGCHECK_CODE:  7eBUGCHECK_P1: ffffffffc0000005BUGCHECK_P2: ffffffff84043f7cBUGCHECK_P3: ffffffff8d7036f8BUGCHECK_P4: ffffffff8d703160
参数 说明
1(ffffffffc0000005) 未处理的异常代码。
2(ffffffff84043f7c) 发生异常的地址。
3(ffffffff8d7036f8) 异常记录的地址。
4(ffffffff8d703160) 上下文记录的地址。

异常代码

常见的未经处理的异常代码

  • 0x80000002：STATUS_DATATYPE_MISALIGNMENT表示遇到未对齐的数据引用。
  • 0x80000003：STATUS_BREAKPOINT指示未将内核调试器附加到系统时遇到断点或 ASSERT。
  • 0xC0000005：STATUS_ACCESS_VIOLATION指示发生了内存访问冲突。

这次还是内存访问冲突

发生异常的地方

nt!SeCreateAccessStateEx+0x9b:
84043f7c a5              movs    dword ptr es:[edi],dword ptr [esi] es:0023:8d7038bc=00000000 ds:0023:00000034=????????

可以发现是取[esi]的值取不到

接下来看一下栈

kd> kv# ChildEBP RetAddr      Args to Child              
00 8d7037d0 84043ed8     85ee5798 85ec9920 8d703840 nt!SeCreateAccessStateEx+0x9b
01 8d7037f0 84092d30     8d703840 8d7038b8 00000000 nt!SeCreateAccessState+0x28
02 8d703980 971d5115     8d7039a8 00000040 00000000 nt!ObReferenceObjectByName+0x8f
WARNING: Stack unwind information not available. Following frames may be wrong.
03 8d7039b8 971d5064     971d5284 00220020 971d525c 122+0x1115
04 8d7039d8 83fe02e6     8728fe10 876ec000 00000000 122+0x1064
05 8d703bbc 83fe3d98     00000001 00000000 8d703be4 nt!IopLoadDriver+0x7ed
06 8d703c00 83e99aab     97b37bd0 00000000 85ee5798 nt!IopLoadUnloadDriver+0x70
07 8d703c50 84025f5e     00000001 2734038b 00000000 nt!ExpWorkerThread+0x10d
08 8d703c90 83ecd219     83e9999e 00000001 00000000 nt!PspSystemThreadStartup+0x9e
09 00000000 00000000     00000000 00000000 00000000 nt!KiThreadStartup+0x19

发现其中有两行这个

03 8d7039b8 971d5064     971d5284 00220020 971d525c 122+0x1115
04 8d7039d8 83fe02e6     8728fe10 876ec000 00000000 122+0x1064

这个112就代表当时加载的驱动的基地址后面+0x1115是驱动出错的代码的偏移

例如PE程序的起始地址是0x00400000

那么这个驱动(驱动是PE结构的)崩溃的代码位置就是0x00400000 + 0x1115 = 0x00401237

然后这个驱动调用了ObReferenceObjectByName进而nt!SeCreateAccessState+0x28最后地址不对，然后系统挂掉

诡异的蓝屏-1

#include <ntifs.h>VOID Unload(PDRIVER_OBJECT pDriver)
{DbgPrint("Driver Unload\r\n");
}NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pReg)
{char buf[0x100000000] = { 0 };//内核栈爆了int x = 0;pDriver->DriverUnload = Unload;//DbgBreakPoint();return STATUS_SUCCESS;
}

这段代码我编译的时候显示数组过大，但是可以编译通过

编译完后虚拟机里一运行就蓝

原因是内核栈爆了，内核栈一共是12K，也就是4096 * 12

这种错误会导致蓝屏的BugCheckCode经常变动，第一次可能是7e，第二次可能就是50了，而且不一定是一加载就崩溃，我写的这个程序由于是在入口这直接开辟超大空间，直接把栈顶爆了，所以才一加载就出问题，有的时候栈是一点点顶爆的，可能需要挺长的时候才会蓝屏

栈炸了停留的位置一般是不一样的

诡异的蓝屏-2

#include <ntifs.h>VOID Unload(PDRIVER_OBJECT pDriver)
{DbgPrint("unload\r\n");
}
VOID
vStart(_In_ PVOID StartContext
)
{*(int*)PsCreateSystemThread = 100;//这里可以写创建新线程后，新线程要做的事
}
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pReg)
{pDriver->DriverUnload = Unload;//DbgBreakPoint();HANDLE hThread = NULL;NTSTATUS status = PsCreateSystemThread(&hThread, THREAD_ALL_ACCESS, NULL, NULL, NULL, vStart, NULL);//创建线程if (NT_SUCCESS(status)){ZwClose(hThread);//释放线程句柄}return STATUS_SUCCESS;
}

这里由于想写PsCreateSystemThread的函数地址所以炸了

不过令我无语的是这个BugCheckCode依然是7e别人的BugCheckCode都是BE，就我的依旧是7e

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/708308.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Qt学习第二篇（基本小组件的使用）

Qt学习第二篇（基本小组件的使用）

Qt_2 小部件是 GUI 的基本元素。 它也称为UI 控件。 它接受来自底层平台的不同用户事件，如鼠标和键盘事件(以及其他事件)。 我们使用不同的小部件创建 UI。 曾经有一段时间，所有的 GUI 控件都是从头开始编写的。 Qt 小部件通过开发具有现成的 GUI 控件的桌面 GUI 来缩短时间，…
阅读更多...
Weblogic T3反序列化漏洞（CVE-2018-2628）

Weblogic T3反序列化漏洞（CVE-2018-2628）

在Weblogic中RMI通信的实现是使用T3协议，并且在T3的传输过程中，和RMI一样，会进行序列化和反序列化的操作。目录前言T3协议概述漏洞复现修复方案 前言 WebLogic Server 是一个企业级的应用服务器，由Oracle公司开发，支持完整的Java EE规范，包括EJB、JSP、Servlet、JMS等，适…
阅读更多...
方方方的数据结构

方方方的数据结构

总算给我看懂到底是什么意思了。。。 首先我们来考虑按照时间+扫描线进行处理，假设操作如下黑色是加操作，黄色是乘操作，绿色是加操作，对于红色那条线所代表的点，随着时间的流逝，首先在刚刚进入黑色的时候，这一点的值就被加上了一个数，然后刚刚进入黄色的时候，这一点的…
阅读更多...
手机硬件检测:-DeviceTest

手机硬件检测:-DeviceTest

手机硬件检测:Z-DeviceTest官方版是款针对手机硬件所打造的检测工具。手机硬件检测:Z-DeviceTest能够检测硬件和OS，硬件上不仅仅是电池、cpu、内存、OS，甚至连usb、扬声器、指南针、摄像头、GPS、听筒等都能检测。并且手机硬件检测:Z-DeviceTest还能够对市面众多的机型进行检…
阅读更多...
OutOfMemoryError

OutOfMemoryError

以下的这段代码应该是报错的才对，但是我在运行了之后，程序一直卡在那里。最后请教老师了解到，原来jvm如果不指定运行参数，是会进行自动扩容的。 package com.coding.jvm.oom;public class NativeErrorDemo {public static void main(String[] args) {for (; ; ) {new Threa…
阅读更多...
【工具使用】【Shell脚本】【gitlab】下拉所有的仓库代码

【工具使用】【Shell脚本】【gitlab】下拉所有的仓库代码

1 前言 电脑重置了或者新的项目代码，仓库里二三十个，一个一个拉属实有点拉跨，今儿空了整了个脚本，可以拉下所有的仓库代码。 2 前置 需要装一个解析 json的，windows 的话可以直接下载：下载，mac的话可以再官网下载：官网地址。 然后加入到 PATH 下，效果如下：3 脚本 …
阅读更多...
app测试工具monkey

app测试工具monkey

Monkey是Android中的一个命令行工具，可以运行在模拟器或者实际设备中向系统发送伪随机的用户事件流（按键输入、触摸屏输入、手势输入等） 实现对正在开发的应用程序进行测试; Monkey测试之一种为了测试软件的稳定性、健壮性的快速有效的方式 一、什么是Monkey 顾名思义，M…
阅读更多...
Markdown的学习笔记

Markdown的学习笔记

Markdown （#＋空格输入后回车自动形成大标题） 字体 （##＋空格输入回车形成二级标题，以此类推，最多6级） hello world!(两边加两个*好为粗体) hello world!（两边一个*号为斜体） hello world!（三个*号斜体加粗） hello world!（两边两个~号删除线） 引用(大于>＋空格形…
阅读更多...
关于idea部署本地项目的问题

关于idea部署本地项目的问题

因为我部署问题的时忘记把问题截图，所以我这边使用网上的截图。 这个错误信息表明，你正在尝试运行一个由更高版本的Java编译的Spring Boot应用程序，而你当前使用的Java运行时（JRE）版本过低，无法识别这个应用程序的类文件版本。 它这边提示应用程序中的类文件版本是61.0，…
阅读更多...
GmSSL3.X编译iOS和Android动态库

GmSSL3.X编译iOS和Android动态库

一、环境准备 我用的Mac电脑编译，Xcode版本15.2，安卓的NDK版本是android-ndk-r21e。 1.1、下载国密源码 下载最新的国密SDK源码到本地。 1.2、安装Xcode 前往Mac系统的AppStore下载安装最新Xcode。 1.3、安卓NDK下载 下载NDK到本地，选择一个比较新的版本下载即可，我选择的是…
阅读更多...
实验31-hanlp_textrank

实验31-hanlp_textrank

版本python3.7 tensorflow版本为tensorflow-gpu版本2.6
阅读更多...
关于cmd运行javac提示javac 不是内部或外部命令，也不是可运行的程序的问题

关于cmd运行javac提示javac 不是内部或外部命令，也不是可运行的程序的问题

大家可以看到我这边cmd运行javac命令，它对我进行了错误的提示，提示javac不是可运行命令和程序。这个问题的根本在于环境变量的配置出现了错误。 接下来就要进行jdk的环境配置了。 注意点：这里要定位到自身存放jdk的bin目录才会生效。点击确定即可，然后打开cmd窗口输入java…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023