# 浙政钉闪退 / 聊天白屏 与 频繁蓝屏 —— 问题说明
> 整理时间:2026-10-22
> 机器:ASUS ROG Strix G614JVR(i9-14900HX / 32GB DDR5 / RTX 4060 Laptop)
> 系统:Windows 11 26H2 Build 26300.9711(2026-10-16 由 26200 升级)
---
## 一、结论(已定位到具体驱动)
2026-10-22 09:55 的蓝屏转储中,FLTMGR(文件过滤管理器)正在执行完成回调的那个过滤器,
其驱动对象解析为:
```
\??\C:\Program Files\sangfor\EAIO\896A0C9E-F929-8E41-A3E6-B8E6C68F9E5D\bin\file_filter.sys
```
即 **深信服 EAIO 组件的文件过滤驱动**(Sangfor Technologies,版本 0.0.0.16,文件日期 2026-07-24)。
崩溃发生在该过滤器的 I/O 完成回调阶段,`rbp` 栈帧已被破坏,随后访问非法地址触发 0x3B。
同一驱动也解释了浙政钉的异常:过滤驱动若在 I/O 完成阶段改写了调用方缓冲区,
可造成 libcef 渲染数据损坏(聊天白屏)与 `UTForPC.dll+0xD6C60` 的固定偏移崩溃。
本机 EAIO 内核驱动共 4 个,全部 Running:`file_filter.sys`、`function_driver.sys`、
`load_driver.sys`、`network_driver.sys`,版本清一色 **0.0.0.16**(2026-07-24 写入磁盘)。
EAIO 目录创建于 2026-05-27,随“终端防护中心”安装,无独立卸载项。
---
## 二、现象
### 1. 浙政钉主进程闪退(每天 1~4 次)
- 异常码:`C0000005 ACCESS_VIOLATION`
- 崩溃位置:`UTForPC.dll + 0x000D6C60`(连续 6 次以上偏移完全相同,属确定性缺陷,非随机损坏)
- 转储目录:`%APPDATA%\DingTalkGov\dumps\`(现存 885 个)
### 2. 聊天窗口白屏 / 无法加载消息
- 崩溃位置:`libcef.dll + 0x326112A`(4 次)、`libcef.dll + 0x39B707C`(2 次)
- 清 `%LOCALAPPDATA%\DingTalkGov_108\Code Cache` 可临时恢复,但会复发
### 3. 蓝屏
| 时间 | 错误码 | 进程 | 关键栈 |
|---|---|---|---|
| 2026-09-02 08:37 | 0x7E | - | nt+0x889C69 |
| 2026-09-22 08:01 | 0x3B | sppsvc | nt!RtlpUnwindPrologue(IP 错位 0x30) |
| 2026-09-29 07:55 | 0x3B | sfavsvc(深信服) | nt!MiChargeSegmentCommit(IP 错位 0x1F) |
| 2026-09-29 08:27 | 0x50 | ArmouryCrate | nt!MiSystemFault |
| 2026-09-29 10:19 | 0x50 | SogouCloud | nt!MiSystemFault |
| 2026-10-22 08:47 | 0x50 | Registry | CmpCheckRegistry2(开机加载注册表配置单元时报错) |
| **2026-10-22 09:55** | **0x3B** | **TiWorker(sfc)** | **FLTMGR!FltpPerformPostCallbacksWorker** |
另有 10-14 15:06 一次整机硬冻结(3.8GB `C:\Windows\MEMORY.DMP`)。
---
## 三、10-22 09:55 蓝屏的完整分析
```
BUGCHECK_CODE: 3b
BUGCHECK_P1: c0000005
BUGCHECK_P2: fffff8063f58559b (崩溃指令地址,位于 FLTMGR.SYS)
BUGCHECK_P3: ffffda8a1cc2e570 (被访问的非法地址)
PROCESS_NAME: TiWorker.exe (当时正在执行 sfc /scannow)
IMAGE_NAME: FLTMGR.SYS
FAILURE_BUCKET_ID: AV_FLTMGR!FltpPerformPostCallbacksWorker
崩溃指令: mov r10, qword ptr [rbp-51h] ; rbp 已被破坏
```
调用栈(自下而上):
```
Ntfs+0x13347 文件系统完成 I/O
nt!IofCompleteRequest
nt!IopfCompleteRequest
FLTMGR!FltpPassThroughCompletion
FLTMGR!FltpPassThroughCompletionWorker
FLTMGR!FltpProcessIoCompletion
FLTMGR!FltpPerformPostCallbacksWorker+0x4fb <-- 崩溃点
```
含义:**某个文件过滤驱动在 I/O 完成回调阶段破坏了调用方的栈帧/寄存器**,
FLTMGR 执行后续回调时访问到非法地址。`!fltkd.filters` 连过滤器名字都读不出来
(`[ERROR READING NAME]`),说明 `FLT_FILTER` 结构体本身已被破坏。
对该 `FLT_FILTER`(`ffffc909f324cb30`)逐字段解析,其 `DriverObject`
指向 `...\sangfor\EAIO\...\bin\file_filter.sys`——**即崩溃时正在被调用的过滤器就是深信服 EAIO 的**。
---
## 四、深信服内核驱动清单
### EAIO 组件(本次定位到的元凶)
| 驱动 | 版本 | 文件日期 | 状态 |
|---|---|---|---|
| **file_filter.sys**(minifilter) | 0.0.0.16 | 2026-07-24 | Running |
| function_driver.sys | 0.0.0.16 | 2026-07-24 | Running |
| load_driver.sys | 0.0.0.16 | 2026-07-24 | Running |
| network_driver.sys | 0.0.0.16 | 2026-07-24 | Running |
位置:`C:\Program Files\sangfor\EAIO\896A0C9E-F929-8E41-A3E6-B8E6C68F9E5D\bin\`
用户态:`eaio_agent.exe`、`eaio_service.exe`、`eaio_watchdog.exe`
功能模块(据插件名):USB 存储管控、应用识别、防火墙、水印、进程管理、特权管理、旁路管理。
### 终端防护中心(EDR)
| 驱动 | 版本 | 日期 |
|---|---|---|
| SfavBoot.sys | 1.0.0.4 | 2024-11-16 |
| sfavflt.sys(minifilter) | 6.1.0.31 | 2026-08-11 |
| sfeknl.sys | 4.0.3.1312 | 2025-07-20 |
| sfesp.sys | 4.0.1.1424 | 2026-07-23 |
### aTrust(UEM)
| 驱动 | 版本 | 日期 |
|---|---|---|
| SfUemFesfDs.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfDt.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfIsolate.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfSupport.sys | 2.0.0.9 | 2025-03-24 |
| SfUemGuarder.sys | 2.5.10.11 | 2025-03-24 |
客户端版本:aTrust 2.5.10.32;终端防护中心 6.0.2.18620.2 R4;病毒库 2026-10-19。
系统日志另有 FilterManager 事件 11 共 1988 条(90 天),内容为 `SfUemFesfIsolate` / `SfUemFesfDs`
“does not support bypass IO” 的警告。
---
## 五、已排除的因素
| 怀疑项 | 排查方式 | 结果 |
|---|---|---|
| 内存条故障 | MemTest 6 实例并行,覆盖率 1300%~2800% | 0 错误 |
| CPU 缩缸/微码 | 微码 0x12B,BIOS G614JVR.322(官网确认最新,2025-10-07) | 正常 |
| 硬盘坏道 | `chkdsk C:` | 干净,0 坏扇区 |
| 系统文件损坏 | `sfc /scannow` | 修复 110+ 文件后仍有蓝屏 |
| 火绒残留 | 残留服务 HRWSCCtrl 指向已删除文件 | 已确认为残留 |
| 搜狗输入法 | 崩溃进程模块表含 6 个搜狗 DLL | 家中同款输入法无此问题 |
| 浙政钉自身 | 重装客户端、清缓存 | 仍复发 |
| 用户态 Hook | 逐字节比对进程内存与磁盘文件 | 崩溃点代码未被改写 |
---
## 六、希望协助的事项
1. **升级 EAIO 组件**:当前 4 个内核驱动均为 0.0.0.16(2026-07-24 版本),
请提供适配 Windows 11 26H2 的新版本。
完整转储文件过大使用网盘上传