بررسی Blue Screen

[milky way]

بعد از عمری گفتم یکمی حس دارم تاپیک بزنم که مفید باشه .

ما میخوایم در مورد این عکس زیر صحبت کنیم .




هدف از این پست در اصل بررسی Blue Screen Of Death (که از این بعد اونو به اختصار BSOD مینامیم) نیست بلکه بررسی فایلهای Mini Memory Dump هست در اصل بزارین بهتر توضیح بدم ویندوز معمولا اطلاعاتی رو داره که نشون دادن اونها عاجزه حالا به هر دلیلی وقتی مشکل ناخونده ای برای ویندوز پیش میاد و به هر دلیلی به BOSD میره یک فایل کوچیک ویندوز میسازه که مختصری اطلاعات در مورد مشکلی به وجود اومده توش قرار میده که همون اطلاعات کمک میکنه تا مشکل کامپیوترتون متوجه بشید .

من قصدم این نیست که خیلی دقیق BOSD رو بررسی کنم و اطلاعاتی که در فایل DUMP قرار میگیره و اصلا دلیل بوجود اومدنش فقط هدف در این پست اینه که شما از طریق این فایل Dump مشکل سیستمتون رو بفهمید .

خوب شروع میکنیم و موارد رو به ترتیب جلو میریم .

1- معمولا فایل هایه Dump در پوشه ای در پوشه ویندوز به نام MiniDump وجود دارند و بعد از Bosd فایل های Mini Dump در این پوشه ذخیره میشن .

2 - ما برای تجزیه و تحلیل فایل های MiniDump نیاز به برنامه ای داریم چون اطلاعات این فایلها به زبان ماشین هست و قابل فهم برای ما نیست , شما میتونید Windows Debugging Tools رو از لینک زیر دانلود کنید :

حجم هم در نسخه فعلی 6.9 تقریبا 17 مگ هست

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

3 - برنامه Windows Debugging Tools دارایه دو محیط است یکی محیطی که شما در CMD میتونید کار کنید باهاش یکی هم محیط GUI دار که ما محیط معمول اینترفیس دار کار میکنیم . برای این کار بعد از نصب برنامه WinDbg رو اجرا کنید در صورت اجرا با محیط زیر روبرو میشید :

3 - مسئله بعدی ما برای خوندن فایلهای MiniDump نیاز به Symbol های ویندوز داریم متاسفانه Symbol هایی در خوده ویندوز وجود داره کامل نیست این Symbol ها در داخل پوشه ویندوز پوشه Symbols قرار داره برایه مثال :
C:\WINDOWS\symbols\ . ولی برای دسترسی به Symbol های بیشتر ما نیاز داریم که از اینترنت یسری Symbol دریافت کنیم در غیر این صورت نمیتونیم فایل MiniDump رو کامل بخونیم .
برای این کار در برنامه WinDbg از منویه File گزینه Symbol File Path ... رو انتخاب کنید یا کلید (Ctrl + s) رو بزنید (در نسخه 6.9 کلید میانبرش اینه) بعد لینک زیر را در پنجره باز شده (مشابه عکس) قرار بدین . دقت کنید که این در زمان دیباگ کردن فایل MiniDump باعث میشه در پوشه c:\symbols یکسری Symbol دانلود کنه (در حال حاضر حجمی برابر 20-24 مگ داره) که در زمان دیباگ شروع به دانلود میکنه خودش

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

برای دفعات بعدی بعد از دانلود میتونید این لینک رو به c:\symbols تغییر بدین

(اگر محدودیت دسترسی به اینترنت دارین تنها راه اینه که از Symbol های موجوده ویندوز استفاده کنید در این صورت لینک رو در پنجره Symbol File Path برابر پوشه Symbol در پوشه ویندوز قرار بدین برای مثال C:\Windows\symbols\dl ولی با احتمال 99% با این کار نمیتونید تمامی جزئیات فایل MiniDump رو بخونید و با تعدادی پیغام خطایه Symbols مواجه میشید )

4 - حالا زمان اون رسیده که فایل MiniDump رو باز کنید برای این کار از منویه File برنامه گزینه Open Crash Dump رو انتخاب کنید یا (Ctrl+D) رو بزنید (در نسخه 6.9 کلید میانبرش اینه) بعد فایل MiniDump مورد نظر رو از همون پوشه در ویندوز که به صورت پیش فرض احتمالا C:\Windows\Minidump هست انتخاب کنید اگر دفعه اولی هست که فایل Dump رو باز میکنید و هنوز Symbol ها رو دانلود نکردین باید صبر کنید تا Symbol ها رو در همون پوشه c:\symbols دانلود کنه خوب به اینترنت باید متصل بشید اگرم برید چک بکنید میبیند همینطور بسته به سرعت اینترنت حجم پوشه بیشتر میشه تا زمانی که Symbol های مربوطه رو دانلود در زمان دانلود ممکنه فکر کنید هیچ اتفاقی نمیفته چون پیغامی نمیده ولی در حال دانلود کردنه باید صبر کنید . بعد از دانلود پیغام خطایه به وجود اومده رو به شما نشون میده . برای مثال این اطلاعاتیه که مربوط به یک فایل Dump که در کامپیوتر من بوده نشون داده به صورت زیر.

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

برای مثال همونطور که میبیند در اینجا خطایه مورد نظر یک Page خراب در زمان کار کردن در رم پیدا کرده در همچین زمانی باید از نرمافزارهایی مثل memtest استفاده کرد چون احتمالا مشکل از رمه البته ممکنم هست هارد دچار مشکل شده باشه ولی رم احتمالش بیشتره .
ولی مشکلات زیادی ممکنه وجود داشته باشه خیلی وقت ها درایورها مشکلات زیادی بوجود میارن .

5 -برای دیدن اطلاعات بیشتر در مورد فایل Dump مربوطه بر رویه !analyze -v کلیک کنید یا خط زیر رو در kd> تایپ کنید .

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

اطلاعات زیر رو مثلا برای موردی که من باز کردم میده :

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

این مطلب خیلی کلی گفته شده و جزئیات خیلی زیاده اگر سوالی بود در خدمتم .

[fardeend]

سلام دوست عزیز
من این کاری رو که گفتین انجام دادم
اما باز هم حل نشد.
اولین فایل کرش هم ابن جواب را می دهد...

Microsoft (R) Windows Debugger Version 6.11.0001.404 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.

Loading Dump File [C:\Windows\Minidump\031410-20046-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available
Symbol search path is: SRV*c:\symbols*

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

Executable search path is:
Windows 7 Kernel Version 7600 MP (2 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 7600.16385.amd64fre.win7_rtm.090713-1255
Machine Name:
Kernel base = 0xfffff800`03205000 PsLoadedModuleList = 0xfffff800`03442e50
Debug session time: Sun Mar 14 1420.327 2010 (GMT+5)
System Uptime: 0 days 114.137
Loading Kernel Symbols
.................................................. .............
.................................................. ..............
.............................................
Loading User Symbols
Loading unloaded module list
........
Unable to load image \SystemRoot\system32\DRIVERS\nvlddmkm.sys, Win32 error 0n2
*** WARNING: Unable to verify timestamp for nvlddmkm.sys
*** ERROR: Module load completed but symbols could not be loaded for nvlddmkm.sys
************************************************** *****************************
* *
* Bugcheck Analysis *
* *
************************************************** *****************************
Use !analyze -v to get detailed debugging information.
BugCheck F7, {fff4f8a102f1b8d1, 2b992ddfa232, ffffd466d2205dcd, 0}
Probably caused by : nvlddmkm.sys ( nvlddmkm+120cc6 )
Followup: MachineOwner
---------
1: kd> !analyze -v
************************************************** *****************************
* *
* Bugcheck Analysis *
* *
************************************************** *****************************
DRIVER_OVERRAN_STACK_BUFFER (f7)
A driver has overrun a stack-based buffer. This overrun could potentially
allow a malicious user to gain control of this machine.
DESCRIPTION
A driver overran a stack-based buffer (or local variable) in a way that would
have overwritten the function's return address and jumped back to an arbitrary
address when the function returned. This is the classic "buffer overrun"
hacking attack and the system has been brought down to prevent a malicious user
from gaining complete control of it.
Do a kb to get a stack backtrace -- the last routine on the stack before the
buffer overrun handlers and bugcheck call is the one that overran its local
variable(s).
Arguments:
Arg1: fff4f8a102f1b8d1, Actual security check cookie from the stack
Arg2: 00002b992ddfa232, Expected security check cookie
Arg3: ffffd466d2205dcd, Complement of the expected security check cookie
Arg4: 0000000000000000, zero
Debugging Details:
------------------

DEFAULT_BUCKET_ID: GS_FALSE_POSITIVE_MISSING_GSFRAME
SECURITY_COOKIE: Expected 00002b992ddfa232 found fff4f8a102f1b8d1
CUSTOMER_CRASH_COUNT: 1
BUGCHECK_STR: 0xF7
PROCESS_NAME: System
CURRENT_IRQL: 2
LAST_CONTROL_TRANSFER: from fffff88004931cc6 to fffff80003276f00
STACK_TEXT:
fffff880`02f1b888 fffff880`04931cc6 : 00000000`000000f7 fff4f8a1`02f1b8d1 00002b99`2ddfa232 ffffd466`d2205dcd : nt!KeBugCheckEx
fffff880`02f1b890 00000000`000000f7 : fff4f8a1`02f1b8d1 00002b99`2ddfa232 ffffd466`d2205dcd 00000000`00000000 : nvlddmkm+0x120cc6
fffff880`02f1b898 fff4f8a1`02f1b8d1 : 00002b99`2ddfa232 ffffd466`d2205dcd 00000000`00000000 00000000`00000000 : 0xf7
fffff880`02f1b8a0 00002b99`2ddfa232 : ffffd466`d2205dcd 00000000`00000000 00000000`00000000 fffffa80`06fb4b50 : 0xfff4f8a1`02f1b8d1
fffff880`02f1b8a8 ffffd466`d2205dcd : 00000000`00000000 00000000`00000000 fffffa80`06fb4b50 fffff880`04a6b0bf : 0x2b99`2ddfa232
fffff880`02f1b8b0 00000000`00000000 : 00000000`00000000 fffffa80`06fb4b50 fffff880`04a6b0bf fffffa80`04e8e040 : 0xffffd466`d2205dcd

STACK_COMMAND: kb
FOLLOWUP_IP:
nvlddmkm+120cc6
fffff880`04931cc6 ?? ???
SYMBOL_STACK_INDEX: 1
SYMBOL_NAME: nvlddmkm+120cc6
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: nvlddmkm
IMAGE_NAME: nvlddmkm.sys
DEBUG_FLR_IMAGE_TIMESTAMP: 4a6e492b
FAILURE_BUCKET_ID: X64_0xF7_MISSING_GSFRAME_nvlddmkm+120cc6
BUCKET_ID: X64_0xF7_MISSING_GSFRAME_nvlddmkm+120cc6
Followup: MachineOwner
---------
1: kd> lmvm nvlddmkm
start end module name
fffff880`04811000 fffff880`05316700 nvlddmkm T (no symbols)
Loaded symbol image file: nvlddmkm.sys
Image path: \SystemRoot\system32\DRIVERS\nvlddmkm.sys
Image name: nvlddmkm.sys
Timestamp: Tue Jul 28 0515 2009 (4A6E492B)
CheckSum: 00B12301
ImageSize: 00B05700
Translations: 0000.04b0 0000.04e4 0409.04b0 0409.04e4

منمون میشم اگه کمکم کنی

[Crespo]

سلام.
من سیستم رو تقریباً یه 4-5 ماهی هست که جدید بستم. تا الان هیچ مشکلی هم شکر خدا نبوده! اما اولین بار توی همین هفته پیش بود که با Blue Screen مواجه شدم! اومدم یه کارت TV رو سیستم نصب کردم! کارت TV رو بنا به دلیلی می خواستم بر دارم! من یادم رفته بود که سیستم رو Hibernate کردم! کارت TV رو برداشتم و وقتی سیستم رو دوباره راه اندازی کردم، این صفحه آبی لعنتی اومد! اول خیلی نگران شدم، بعد گفتم احتمالاً به خاطر همینه که کارت TV رو وقتی برداشتم که سیستم در حالت Hibernate بوده! اما امروز ظهر داشتم بازی PES10 رو می زدم، که یهو وسط بازی این صفحه اومدو چندثانیه بود و بعدش خودش رفت! سیستم انگار ری استارت شد، اما همون صفحه اول مشکی راه اندازی سیستم (مربوط به لودینگ مادربوردم که ASUS هستش) اومد و همونجا موند و چراغ هارد هم یه لحظه که دقت کردم به گمونم ممتد روشن بود! خلاصه سیستم رو ری استارت کردم و الان همه چی OK هستش. وقتی ویندوز بالا اومد یه پنجره در مورد Blue Screen اومد! منم ازش یه عکس گرفتم که می زارم!

حالا خدای ناکرده مشکلی واسه قطعات پیش اومده یا اشکال نرم افزاریه؟ آخه سیستم رو تازه بستم و از نظر سخت افزاری هیچ مشکلی نداره که مثلاً بگی تو اجرای بازی کم آورده!