捉虫笔记(七)-再探谁把系统卡住了

devtools/2024/11/28 20:37:18/

捉虫笔记(七)-再探谁把系统卡住

1、内核调试

在实体物理机上,内核调试的第一个门槛就是如何建立调试链接。

这里我选择的建立网络连接进行内核调试

至于如何建立网络连接后续文章再和大家分享。

2、如何分析

在上一篇文章中,我们通过种种蛛丝马迹发现最后就是我们的程序导致了驱动崩溃。 但是我始终觉得还是缺少致命一击,缺少一个绝对的证据证明就是我们的程序导致驱动崩溃。

我们接着分析,如图所示就表示已经连接上了。

Image

接下来就是按照原来的操作再来一边。

调试器立马收到了异常,并报告出来。这幸福来得有点突然了。

Image  使用!analyze -v分析结果

SYMBOL_NAME:  nvlddmkm+bd3432MODULE_NAME: nvlddmkmIMAGE_NAME:  nvlddmkm.sysSTACK_COMMAND:  .cxr; .ecxr ; kbBUCKET_ID_FUNC_OFFSET:  bd3432FAILURE_BUCKET_ID:  0x0_nvlddmkm!unknown_functionOS_VERSION:  10.0.22621.1BUILDLAB_STR:  ni_releaseOSPLATFORM_TYPE:  x64OSNAME:  Windows 10FAILURE_ID_HASH:  {caac5c5f-0db0-04d5-7bea-7d62e0e44e6c}Followup:     MachineOwner

这个分析结果和之前的分析是一致的。

接着执行上面的提示的命令:.cxr; .ecxr ; kb

我们接着看当前是哪个进程。 执行命令? @$proc,打印当前进程ID

Evaluate expression: -30170063146880 = ffffe48f3e0d1040

在执行命令!process ffffe48f3e0d1040 0

PROCESS ffffe48f7c1a7080SessionId: 1  Cid: b474    Peb: 67789b8000  ParentCid: afe0DirBase: d5d05c002  ObjectTable: ffffab0e9c52a600  HandleCount: 2745.Image: software.exe

果然software.exe这个熟悉的名字。

接着我们执行下!thread命令:

因为我们的进程再走退出流程了,所以这里只看一个线程信息.

THREAD ffffe48f9e1b8080  Cid b474.ad54  Teb: 00000067789b9000 Win32Thread: ffffe48f8f0a9110 RUNNING on processor 0
IRP List:ffffe48f43895bc0: (0006,0118) Flags: 00060000  Mdl: 00000000
Not impersonating
DeviceMap                 ffffab0e97f399b0
Owning Process            ffffe48f7c1a7080       Image:         software.exe
Attached Process          N/A            Image:         N/A
Wait Start TickCount      6407289        Ticks: 0
Context Switch Count      249128         IdealProcessor: 15             
UserTime                  00:01:00.531
KernelTime                00:00:40.031
*** WARNING: Unable to verify checksum for software.exe
Win32 Start Address software!WinMainCRTStartup (0x00007ff648fb12d8)
Stack Init ffff838f6d657b70 Current ffff838f6d6573a0
Base ffff838f6d658000 Limit ffff838f6d651000 Call 0000000000000000
Priority 10  BasePriority 10  IoPriority 2  PagePriority 5
Child-SP          RetAddr              Call Site
fffff804`1670f860 fffff804`4261fb0a    nvlddmkm+0xbd3432
fffff804`1670f930 fffff804`42620f34    nvlddmkm+0xbffb0a
fffff804`1670fab0 fffff804`4262154e    nvlddmkm+0xc00f34
fffff804`1670fb70 fffff804`41aebf4b    nvlddmkm+0xc0154e
fffff804`1670fbd0 fffff804`41d6b1a8    nvlddmkm+0xcbf4b
...

3、总结

利用内核调试,不出一个小时就精准定位了是谁导致了系统卡顿。

但其实这个配置调试环境着实费一番功夫。


http://www.ppmy.cn/devtools/137754.html

相关文章

追加docker已运行容器添加或修改端口映射方法

docker run可以指定端口映射 【】docker run -d -p 80:80 --name name 但是容器一旦生成,就没有一个命令可以直接修改。通常间接的办法是,保存镜像,再创建一个新的容器,在创建时指定新的端口映射。 【】 docker stop A 【】 doc…

经典游戏:飞机大战游戏python设计与实现

《飞机大战》是一款经典的二维飞行射击游戏,其核心玩法是控制玩家飞机与敌机作战,通过击落敌机获取分数并尽量避免被敌机击中。根据提供的代码,飞机大战的设计和实现可以分为以下几个主要部分:游戏初始化、游戏界面设计、玩家控制…

【MySQL】MySQL8.0新特性整理

MySQL 8.0 引入了许多新特性和改进,旨在提升性能、安全性和易用性。以下是一些主要的新特性: 1. 默认字符集和排序规则 默认字符集:MySQL 8.0 的默认字符集从 latin1 更改为 utf8mb4,支持更多的字符和表情符号。排序规则&#x…

计算机网络的功能

目录 信息交换 资源共享 分布式处理 可靠性增强 集中管理 信息交换 计算机网络最基本的功能之一是允许不同设备之间的数据通信。这包括电子邮件的发送和接收、即时消息的传递、文件传输等。通过网络,用户可以轻松地与全球各地的其他人进行沟通和协作。 信息交…

【贪心算法第二弹——2208.将数组和减半的最小操作数】

1.题目解析 题目来源 2208.将数组和减半的最小操作数——力扣 测试用例 2.算法原理(贪心策略) 3.实战代码 class Solution { public:int halveArray(vector<int>& nums) {priority_queue<double> hash;double sum 0.0;for(auto e : nums){hash.push(e);sum …

PostgreSQL 三种关库模式

PostgreSQL 三种关库模式 基础信息 OS版本&#xff1a;Red Hat Enterprise Linux Server release 7.9 (Maipo) DB版本&#xff1a;16.2 pg软件目录&#xff1a;/home/pg16/soft pg数据目录&#xff1a;/home/pg16/data 端口&#xff1a;5777PostgreSQL 提供了三种关库模式&…

js实现高斯-约旦消元法求解Homography矩阵

最小二乘法来求解矩阵 // 计算Homography矩阵 function calculateHomography(srcPoints, dstPoints) {if (srcPoints.length ! dstPoints.length || srcPoints.length < 4) {throw new Error(需要至少四个点进行计算);}// 设置矩阵方程 Ax blet A [];let b [];// 构建方…

无人机+无人车+机器狗+自组网:城市一空地体化指挥系统技术详解

无人机、无人车、机器狗与自组网技术的结合&#xff0c;为城市空地一体化指挥系统带来了革命性的突破。以下是对这一技术的详细解析&#xff1a; 一、系统架构与关键技术 1. 系统架构 控制中心&#xff1a;负责整体任务的规划、调度与监控&#xff0c;通过远程指令控制各个无…