☰

了解 Windows 7 中的藍色畫面小型轉儲

tag-icon • tag-icon windows-7 crash bsod minidumps windbg
了解 Windows 7 中的藍色畫面小型轉儲

我的 Windows 7 電腦在啟動後不久就出現藍色畫面。

我使用 Windbg 來分析事件的啞文件，但我不確定我是否理解它告訴我的內容。

這些行似乎很有趣：

DEFAULT_BUCKET_ID:  WIN7_DRIVER_FAULT
PROCESS_NAME:  fsgk32.exe

這是否表示問題出在驅動程式或 fsgk32.exe（它是 F-secure 的一部分）或兩者？

完整結果：

2: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

KMODE_EXCEPTION_NOT_HANDLED (1e)
This is a very common bugcheck.  Usually the exception address pinpoints
the driver/function that caused the problem.  Always note this address
as well as the link date of the driver/image that contains this address.
Arguments:
Arg1: ffffffffc0000005, The exception code that was not handled
Arg2: fffff80002ed05ce, The address that the exception occurred at
Arg3: 0000000000000000, Parameter 0 of the exception
Arg4: ffffffffffffffff, Parameter 1 of the exception

Debugging Details:
------------------

READ_ADDRESS: GetPointerFromAddress: unable to read from fffff800030f7100
GetUlongFromAddress: unable to read from fffff800030f71c0
0000000000000000 Nonpaged pool

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%08lx referenced          memory     at 0x%08lx. The memory could not be %s.

FAULTING_IP: 
nt!MiUnlinkPageFromLockedList+36e
fffff800`02ed05ce 49890cc0        mov     qword ptr [r8+rax*8],rcx
BUGCHECK_STR:  0x1E_c0000005_R
CUSTOMER_CRASH_COUNT:  1
DEFAULT_BUCKET_ID:  WIN7_DRIVER_FAULT
PROCESS_NAME:  fsgk32.exe
CURRENT_IRQL:  2
ANALYSIS_VERSION: 6.3.9600.17237 (debuggers(dbg).140716-0327) amd64fre
LAST_CONTROL_TRANSFER:  from fffff80002f0a738 to fffff80002ebfbc0

STACK_TEXT:  
fffff880`060eed48 fffff800`02f0a738 : 00000000`0000001e ffffffff`c0000005         fffff800`02ed05ce 00000000`00000000 : nt!KeBugCheckEx
fffff880`060eed50 fffff800`02ebf242 : fffff880`060ef528 fffffa80`0aeff270     fffff880`060ef5d0 fffffa80`0aeff270 : nt! ?? ::FNODOBFM::`string'+0x487ed
fffff880`060ef3f0 fffff800`02ebdb4a : 00000000`00000000 00000000`00000000     00000000`00000000 00000000`00000000 : nt!KiExceptionDispatch+0xc2
fffff880`060ef5d0 fffff800`02ed05ce : fffff700`01080000 fffffa80`0aeff270 fffff800`030fa2c0 fffff680`00394f28 : nt!KiGeneralProtectionFault+0x10a
fffff880`060ef760 fffff800`02ef006b : fffffa80`0aeff270 fffffa80`0efb1578     00000000`00000000 00000000`00000000 : nt!MiUnlinkPageFromLockedList+0x36e
fffff880`060ef7e0 fffff800`02edcc8f : 00000000`00000000 00000000`00000000 fffff680`003b5818 fffffa80`0efb1578 : nt!MiResolveTransitionFault+0x16b
fffff880`060ef870 fffff800`02ecc179 : 00000000`00000000 ffffffff`ffffffff fffffa80`0f946060 00000000`00000000 : nt!MiDispatchFault+0x95f
fffff880`060ef980 fffff800`02ebdcee : 00000000`00000000 00000000`001dedf8 fffff880`060efa01 00000000`00000007 : nt!MmAccessFault+0x359
fffff880`060efae0 00000000`772fe2be : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiPageFault+0x16e
00000000`0328fa18 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x772fe2be


STACK_COMMAND:  kb

FOLLOWUP_IP: 
nt!MiUnlinkPageFromLockedList+36e
fffff800`02ed05ce 49890cc0        mov     qword ptr [r8+rax*8],rcx

SYMBOL_STACK_INDEX:  4
SYMBOL_NAME:  nt!MiUnlinkPageFromLockedList+36e
FOLLOWUP_NAME:  MachineOwner
MODULE_NAME: nt
DEBUG_FLR_IMAGE_TIMESTAMP:  531590fb
IMAGE_VERSION:  6.1.7601.18409
IMAGE_NAME:  memory_corruption
FAILURE_BUCKET_ID:  X64_0x1E_c0000005_R_nt!MiUnlinkPageFromLockedList+36e
BUCKET_ID:  X64_0x1E_c0000005_R_nt!MiUnlinkPageFromLockedList+36e
ANALYSIS_SOURCE:  KM
FAILURE_ID_HASH_STRING:  km:x64_0x1e_c0000005_r_nt!miunlinkpagefromlockedlist+36e
FAILURE_ID_HASH:  {3264b3ba-cf19-fae1-16b7-0f69c15b38b9}

Followup: MachineOwner

答案1

恕我直言，在分析藍色畫面時有兩件重要的事情要了解。

a) 正如您所發現的：PROCESS_NAME: fsgk32.exe

如果它不能直接與產品相關聯，Google搜尋通常會給出一些提示。您發現了 F-Secure，Google 也指出了這一點。

b) 問題的類型，即KMODE_EXCEPTION_NOT_HANDLED本例的問題。

這變得有點棘手，因為有些問題會立即導致藍屏，例如內核模式中的異常（這個），但也存在其他問題，例如內存洩漏，這些問題可能會在一段時間內未被檢測到，然後崩潰之後。

在您的情況下，它會立即藍屏，因此進程名稱通常是正確的。我認為您透過在安全模式下卸載來驗證了這一點。

在後一種情況（記憶體洩漏）中，列出的進程名稱不正確，需要採取其他措施。對於延遲崩潰可能有不同的方法。我使用Windows自帶的驅動程式驗證器（Win+R，verifier.exe）。您可能需要在使用它之前閱讀有關它的信息，因為如果導致啟動期間崩潰，將其關閉可能會很麻煩。

相關內容