驱动蓝屏后简单的分析dump文件

100 阅读 0 评论 66 点赞

我是靠谱客的博主舒心朋友，最近开发中收集的这篇文章主要介绍驱动蓝屏后简单的分析dump文件，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

1: kd> !analyze–v

Debugging Details:

------------------

*** ERROR: Moduleload completed but symbols could not be loaded for ntnfapi.sys

EXCEPTION_CODE:(NTSTATUS) 0xc0000005 - 0x%08lx

FAULTING_IP: (FAULTING_IP表示引起这个错误的指令的指针。)

ntnfapi+1f0e

a4546f0e 8b7014 mov esi,dword ptr [eax+14h]

TRAP_FRAME: a2a72aa0-- (.trap 0xffffffffa2a72aa0)

ErrCode = 00000000

eax=00000000ebx=886048e0 ecx=a2a72b3c edx=87f1f790esi=88604828 edi=00000006

eip=a4546f0e esp=a2a72b14 ebp=a2a72b18iopl=0 nv up ei ng nz na po nc

cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 efl=00010282

ntnfapi+0x1f0e:

a4546f0e 8b7014 mov esi,dword ptr [eax+14h]ds:0023:00000014=????????

Resetting defaultscope

DEFAULT_BUCKET_ID: DRIVER_FAULT(DEFAULT_BUCKET_ID字段显示这个错误属于哪一类。)

BUGCHECK_STR: 0x8E

PROCESS_NAME: LMS.exe(PROCESS_NAME字段显示的是产生这个异常的进程名字。)

ANALYSIS_VERSION:6.3.9600.16384 (debuggers(dbg).130821-1623) x86fre

LAST_CONTROL_TRANSFER: from 804ff817 to 804faf33

STACK_TEXT: (STACK_TEXT显示的是错误模块的栈的回溯（stack trace）)

a2a72668 804ff817 0000008e c0000005 a4546f0e nt!KeBugCheckEx+0x1b

a2a72a3080543085 a2a72a4c 00000000 a2a72aa0nt!KiDispatchException+0x3b1

a2a72a9880543036 a2a72b18 a4546f0e badb0d00nt!CommonDispatchException+0x4d

a2a72ab0 a45458c500000007 87e41008 87e410e4 nt!Kei386EoiHelper+0x18a

WARNING: Stackunwind information not available. Following frames may be wrong.

a2a72b18 a4545cf488468d48 88604828 886048e0 ntnfapi+0x8c5

a2a72b4c804f018f 87f1f790 88468d48 00000002 ntnfapi+0xcf4

a2a72c5080580982 87e420e4 87b6c78887e42008 nt!IopfCallDriver+0x31

a2a72c64805817f7 8857c220 87e42008 87b6c788 nt!IopSynchronousServiceTail+0x70

a2a72d00 8057a274 00000228 0000025c00000000 nt!IopXxxControlFile+0x5c5

a2a72d34 8054261c 00000228 0000025c 00000000 nt!NtDeviceIoControlFile+0x2a

a2a72d34 7c92e4f400000228 0000025c 00000000nt!KiFastCallEntry+0xfc

007ff6ac 00000000 00000000 00000000 000000000x7c92e4f4

STACK_COMMAND: kb(STACK_COMMAND字段的意思是上面的这两个命令(.excr,kb)可以获取STACK_TEXT,你可以使用这两个命令再次的显示栈或相关的栈信息.)

FOLLOWUP_IP:

ntnfapi+1f0e

a4546f0e 8b7014 mov esi,dword ptr [eax+14h]

SYMBOL_STACK_INDEX: 0

SYMBOL_NAME: ntnfapi+1f0e

FOLLOWUP_NAME: MachineOwner

MODULE_NAME:ntnfapi

IMAGE_NAME: ntnfapi.sys

DEBUG_FLR_IMAGE_TIMESTAMP: 51830c23

(当!analyze判断出引起错误的指令，它会显示在FOLLOWUP_IP字段。

SYMBOL_NAME,MODULE_NAME,IMAGE_NAME和DBG_FLR_IMAGE_TIMESTAMP显示的是这个指令对应的

符号, 模块, 映像名和映像时间戳.)

FAILURE_BUCKET_ID: 0x8E_ntnfapi+1f0e

BUCKET_ID: 0x8E_ntnfapi+1f0e

(BUCKET_ID字段显示的是错误的具体分类,这个分类会帮助调试器判断该显示的其他分析信息)

ANALYSIS_SOURCE: KM

FAILURE_ID_HASH_STRING: km:0x8e_ntnfapi+1f0e

FAILURE_ID_HASH: {2495e343-dd52-ba6c-8106-c4e681c2422b}

Followup:MachineOwner

---------

原因：
1.使用Inter主板的PC，安装了软件及驱动。
Intel(R) Management Engine Components，简称 InterAMT
InterAMT中的服务程序，LMS.exe和UNS.exe每隔10秒，通过网卡发送“非操作系统标准”的指令和数据包。
导致LPS的网络行为监控组件错误。

2.我们自己写的网络行为驱动，未对非标准的指令进行保护性处理。

解决方案：
方案一：（临时方案）
1.禁止系统服务
“Intel(R) Management and Security Application Local Management Service”
简称：LMS

或者，将exe改名，不允许系统启动exe：
C:Program FilesIntelIntel(R) Management Engine ComponentsLMSLMS.exe
C:Program FilesIntelIntel(R) Management Engine ComponentsUNSUNS.exe

备注：InterAMT是Inter公司，基于主板硬件，让管理员远程管理客户端的系统组件，现在很少有人使用