首页
社区
课程
招聘
[旧帖] [求助]为什么蓝屏 0.00雪花
发表于: 2009-2-22 17:11 22847

[旧帖] [求助]为什么蓝屏 0.00雪花

2009-2-22 17:11
22847
在看了下边文章之后的实验问题研究的,大家帮忙看看!!
标 题: 【原创】Hide your DebugPort in ring0
作 者: wowelf
时 间: 2009-01-26,11:00
链 接: http://bbs.pediy.com/showthread.php?t=80971

做实验的时候将这些函数都改为0x70h
PspCreateProcess、MmCreatePeb 进程创建,设置DebugPort
    DbgkCreateThread 发送线程或者进程创建的调试信息
    KiDispatchException、DbgkForwardException和DbgkpQueueMessage 发送异常调试信息
    PspExitThread、DbgkExitThread和DbgkExitProcess 发送线程退出、进程退出的调试信息
    DbgkMapViewOfSection和DbgkUnMapViewOfSection 发送映像装载卸载调试信息
    DbgkpSetProcessDebugObject和DbgkpMarkProcessPeb 当调试器附加进程时设置DebugPort  

其他都OK,就是DbgkpQueueMessage  一改就蓝
开始想着大概是没关内存保护吧,关了之后没用
然后单独把DbgkpQueueMessage  改了,OK,不蓝屏了
但是把其他一起改接着蓝
我又把DbgkpQueueMessage 这个函数排除了,先改其他函数 也OK,不蓝了
再将DbgkpQueueMessage 函数改了,又蓝了
不明白  其他函数改过之后 DbgkpQueueMessage  我用Windbg看过了代码没改变啊

代码基本用的原文中的,只是改简单点 另外去掉了NOP相关

只是对蓝屏原因不解,一般蓝屏都是因为堆栈平衡吧,我只改一个字节,这样就不会造成堆栈的变化啊,还有就是写保护也关了,还有什么其他原因能造成蓝屏呢

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (21)
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
顺便贴上 DUMP 文件分析
kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 00000000, memory referenced
Arg2: 00000002, IRQL
Arg3: 00000001, bitfield :
        bit 0 : value 0 = read operation, 1 = write operation
        bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: 804fad26, address which referenced memory

Debugging Details:
------------------

OVERLAPPED_MODULE: Address regions for 'msdirectx' and 'msdirectx.sy' overlap

WRITE_ADDRESS:  00000000

CURRENT_IRQL:  2

FAULTING_IP:
nt!KeWaitForSingleObject+186
804fad26 8939            mov     dword ptr [ecx],edi

CUSTOMER_CRASH_COUNT:  17

DEFAULT_BUCKET_ID:  COMMON_SYSTEM_FAULT

BUGCHECK_STR:  0xA

PROCESS_NAME:  svchost.exe

LAST_CONTROL_TRANSFER:  from 806d376e to 804fad26

STACK_TEXT:  
b8821af8 806d376e 00000000 00000000 00000000 nt!KeWaitForSingleObject+0x186
b8821b18 80639c31 000d0801 86702f68 00000000 hal!ExAcquireFastMutex+0x2a
b8821be4 8063ad63 86702d20 863a7020 b8821c2c nt!DbgkpQueueMessage+0x11f
b8821c08 8063b343 b8821c2c 00000001 86702d20 nt!DbgkpSendApiMessage+0x45
b8821d08 805c705f 7c8106e9 00000000 00000000 nt!DbgkCreateThread+0x391
b8821d50 80542dd2 00000000 7c8106e9 00000001 nt!PspUserThreadStartup+0x9d
00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16

STACK_COMMAND:  kb

FOLLOWUP_IP:
nt!KeWaitForSingleObject+186
804fad26 8939            mov     dword ptr [ecx],edi

SYMBOL_STACK_INDEX:  0

SYMBOL_NAME:  nt!KeWaitForSingleObject+186

FOLLOWUP_NAME:  MachineOwner

MODULE_NAME: nt

IMAGE_NAME:  ntkrnlpa.exe

DEBUG_FLR_IMAGE_TIMESTAMP:  4802516a

FAILURE_BUCKET_ID:  0xA_nt!KeWaitForSingleObject+186

BUCKET_ID:  0xA_nt!KeWaitForSingleObject+186

Followup: MachineOwner
2009-2-22 17:14
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
没人看自己先慢慢解决了
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.

IRQL太高  

跟进
Arg4: 804fad26, address which referenced memory

STACK_TEXT:  
b8821af8 806d376e 00000000 00000000 00000000 nt!KeWaitForSingleObject+0x186
b8821b18 80639c31 000d0801 86702f68 00000000 hal!ExAcquireFastMutex+0x2a
b8821be4 8063ad63 86702d20 863a7020 b8821c2c nt!DbgkpQueueMessage+0x11f
b8821c08 8063b343 b8821c2c 00000001 86702d20 nt!DbgkpSendApiMessage+0x45
b8821d08 805c705f 7c8106e9 00000000 00000000 nt!DbgkCreateThread+0x391
b8821d50 80542dd2 00000000 7c8106e9 00000001 nt!PspUserThreadStartup+0x9d
00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16

看了下堆栈 原因大概是这里了  DbgkCreateThread  跟DbgkpQueueMessage 这两个函数的原因 再看看DbgkCreateThread 用到的偏移
DbgkCreateThread
8063b0d7 399ebc000000    cmp     dword ptr [esi+0BCh],ebx
2009-2-22 18:57
0
雪    币: 419
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
也玩了一下

也是蓝是蓝

不知楼主解决没
2009-4-17 19:34
0
雪    币: 248
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
我的也是蓝屏了,不知道楼主怎么解决的啊
2010-1-5 22:44
0
雪    币: 53
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
顶...我也关注这个问题
2010-5-7 10:33
0
雪    币: 65
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
学习中

2010-5-7 11:10
0
雪    币: 355
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
看晕了
2010-5-8 19:19
0
雪    币: 87
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
这个我解决不掉,对我来说很有难度!学习一下!
2010-5-8 21:55
0
雪    币: 53
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
顶上去....
2010-5-10 16:12
0
雪    币: 74
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
小白路过,~~~~~~
2010-5-10 16:57
0
雪    币: 146
活跃值: (182)
能力值: ( LV13,RANK:220 )
在线值:
发帖
回帖
粉丝
12
事隔一年了,这个问题有解决没?
2010-6-4 23:38
0
雪    币: 64
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
时隔一年多了,这个问题解决了么,同样遇到DbgkpQueueMessage一改就蓝屏
2010-9-19 17:33
0
雪    币: 12
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
同求解决方法
2010-9-22 19:43
0
雪    币: 64
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
我也想知道原因~希望有高手回答一下这个问题
2010-9-27 10:29
0
雪    币: 38
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
为了不让沉,继续关注~~~~~~~~~
2010-9-28 12:59
0
雪    币: 31
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
学习中    看的头都晕了
2010-9-29 17:58
0
雪    币: 159
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
确实很难懂,来学习的
2010-9-30 10:48
0
雪    币: 30
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
等待答案
2010-10-3 12:26
0
雪    币: 40
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
我擦,这不是吓唬新人吗,这么难?
2010-10-3 12:26
0
雪    币: 101
活跃值: (1008)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
这个我也不懂
2010-10-3 13:18
0
雪    币: 124
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
我也被这个问题困惑,楼主找到方法了么
2010-10-18 20:51
0
游客
登录 | 注册 方可回帖
返回
//