EDR导致浙政钉程序异常、电脑蓝屏问题

新手650628    18  

{{ttag.title}}
本帖最后由 新手650628 于 2026-10-22 10:35 编辑

卸载EDR电脑正常,但是无法访问内网。安装EDR的情况下,蓝屏概率很高,浙政钉软件异常。已经对比另一台电脑排除多种因素。请提供适配 Windows 11 26H2 的新版本。




# 浙政钉闪退 / 聊天白屏 与 频繁蓝屏 —— 问题说明

> 整理时间:2026-10-22
> 机器:ASUS ROG Strix G614JVR(i9-14900HX / 32GB DDR5 / RTX 4060 Laptop)
> 系统:Windows 11 26H2 Build 26300.9711(2026-10-16 由 26200 升级)

---

## 一、结论(已定位到具体驱动)

2026-10-22 09:55 的蓝屏转储中,FLTMGR(文件过滤管理器)正在执行完成回调的那个过滤器,
其驱动对象解析为:

```
\??\C:\Program Files\sangfor\EAIO\896A0C9E-F929-8E41-A3E6-B8E6C68F9E5D\bin\file_filter.sys
```

即 **深信服 EAIO 组件的文件过滤驱动**(Sangfor Technologies,版本 0.0.0.16,文件日期 2026-07-24)。

崩溃发生在该过滤器的 I/O 完成回调阶段,`rbp` 栈帧已被破坏,随后访问非法地址触发 0x3B。
同一驱动也解释了浙政钉的异常:过滤驱动若在 I/O 完成阶段改写了调用方缓冲区,
可造成 libcef 渲染数据损坏(聊天白屏)与 `UTForPC.dll+0xD6C60` 的固定偏移崩溃。

本机 EAIO 内核驱动共 4 个,全部 Running:`file_filter.sys`、`function_driver.sys`、
`load_driver.sys`、`network_driver.sys`,版本清一色 **0.0.0.16**(2026-07-24 写入磁盘)。
EAIO 目录创建于 2026-05-27,随“终端防护中心”安装,无独立卸载项。

---

## 二、现象

### 1. 浙政钉主进程闪退(每天 1~4 次)
- 异常码:`C0000005 ACCESS_VIOLATION`
- 崩溃位置:`UTForPC.dll + 0x000D6C60`(连续 6 次以上偏移完全相同,属确定性缺陷,非随机损坏)
- 转储目录:`%APPDATA%\DingTalkGov\dumps\`(现存 885 个)

### 2. 聊天窗口白屏 / 无法加载消息
- 崩溃位置:`libcef.dll + 0x326112A`(4 次)、`libcef.dll + 0x39B707C`(2 次)
- 清 `%LOCALAPPDATA%\DingTalkGov_108\Code Cache` 可临时恢复,但会复发

### 3. 蓝屏
| 时间 | 错误码 | 进程 | 关键栈 |
|---|---|---|---|
| 2026-09-02 08:37 | 0x7E | - | nt+0x889C69 |
| 2026-09-22 08:01 | 0x3B | sppsvc | nt!RtlpUnwindPrologue(IP 错位 0x30) |
| 2026-09-29 07:55 | 0x3B | sfavsvc(深信服) | nt!MiChargeSegmentCommit(IP 错位 0x1F) |
| 2026-09-29 08:27 | 0x50 | ArmouryCrate | nt!MiSystemFault |
| 2026-09-29 10:19 | 0x50 | SogouCloud | nt!MiSystemFault |
| 2026-10-22 08:47 | 0x50 | Registry | CmpCheckRegistry2(开机加载注册表配置单元时报错) |
| **2026-10-22 09:55** | **0x3B** | **TiWorker(sfc)** | **FLTMGR!FltpPerformPostCallbacksWorker** |

另有 10-14 15:06 一次整机硬冻结(3.8GB `C:\Windows\MEMORY.DMP`)。

---

## 三、10-22 09:55 蓝屏的完整分析

```
BUGCHECK_CODE: 3b
BUGCHECK_P1: c0000005
BUGCHECK_P2: fffff8063f58559b        (崩溃指令地址,位于 FLTMGR.SYS)
BUGCHECK_P3: ffffda8a1cc2e570        (被访问的非法地址)
PROCESS_NAME:   TiWorker.exe          (当时正在执行 sfc /scannow)
IMAGE_NAME:     FLTMGR.SYS
FAILURE_BUCKET_ID: AV_FLTMGR!FltpPerformPostCallbacksWorker
崩溃指令: mov r10, qword ptr [rbp-51h]    ; rbp 已被破坏
```

调用栈(自下而上):

```
Ntfs+0x13347                         文件系统完成 I/O
nt!IofCompleteRequest
nt!IopfCompleteRequest
FLTMGR!FltpPassThroughCompletion
FLTMGR!FltpPassThroughCompletionWorker
FLTMGR!FltpProcessIoCompletion
FLTMGR!FltpPerformPostCallbacksWorker+0x4fb   <-- 崩溃点
```

含义:**某个文件过滤驱动在 I/O 完成回调阶段破坏了调用方的栈帧/寄存器**,
FLTMGR 执行后续回调时访问到非法地址。`!fltkd.filters` 连过滤器名字都读不出来
(`[ERROR READING NAME]`),说明 `FLT_FILTER` 结构体本身已被破坏。

对该 `FLT_FILTER`(`ffffc909f324cb30`)逐字段解析,其 `DriverObject`
指向 `...\sangfor\EAIO\...\bin\file_filter.sys`——**即崩溃时正在被调用的过滤器就是深信服 EAIO 的**。

---

## 四、深信服内核驱动清单

### EAIO 组件(本次定位到的元凶)
| 驱动 | 版本 | 文件日期 | 状态 |
|---|---|---|---|
| **file_filter.sys**(minifilter) | 0.0.0.16 | 2026-07-24 | Running |
| function_driver.sys | 0.0.0.16 | 2026-07-24 | Running |
| load_driver.sys | 0.0.0.16 | 2026-07-24 | Running |
| network_driver.sys | 0.0.0.16 | 2026-07-24 | Running |

位置:`C:\Program Files\sangfor\EAIO\896A0C9E-F929-8E41-A3E6-B8E6C68F9E5D\bin\`
用户态:`eaio_agent.exe`、`eaio_service.exe`、`eaio_watchdog.exe`
功能模块(据插件名):USB 存储管控、应用识别、防火墙、水印、进程管理、特权管理、旁路管理。

### 终端防护中心(EDR)
| 驱动 | 版本 | 日期 |
|---|---|---|
| SfavBoot.sys | 1.0.0.4 | 2024-11-16 |
| sfavflt.sys(minifilter) | 6.1.0.31 | 2026-08-11 |
| sfeknl.sys | 4.0.3.1312 | 2025-07-20 |
| sfesp.sys | 4.0.1.1424 | 2026-07-23 |

### aTrust(UEM)
| 驱动 | 版本 | 日期 |
|---|---|---|
| SfUemFesfDs.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfDt.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfIsolate.sys(minifilter) | 2.0.0.9 | 2025-03-24 |
| SfUemFesfSupport.sys | 2.0.0.9 | 2025-03-24 |
| SfUemGuarder.sys | 2.5.10.11 | 2025-03-24 |

客户端版本:aTrust 2.5.10.32;终端防护中心 6.0.2.18620.2 R4;病毒库 2026-10-19。
系统日志另有 FilterManager 事件 11 共 1988 条(90 天),内容为 `SfUemFesfIsolate` / `SfUemFesfDs`
“does not support bypass IO” 的警告。

---

## 五、已排除的因素

| 怀疑项 | 排查方式 | 结果 |
|---|---|---|
| 内存条故障 | MemTest 6 实例并行,覆盖率 1300%~2800% | 0 错误 |
| CPU 缩缸/微码 | 微码 0x12B,BIOS G614JVR.322(官网确认最新,2025-10-07) | 正常 |
| 硬盘坏道 | `chkdsk C:` | 干净,0 坏扇区 |
| 系统文件损坏 | `sfc /scannow` | 修复 110+ 文件后仍有蓝屏 |
| 火绒残留 | 残留服务 HRWSCCtrl 指向已删除文件 | 已确认为残留 |
| 搜狗输入法 | 崩溃进程模块表含 6 个搜狗 DLL | 家中同款输入法无此问题 |
| 浙政钉自身 | 重装客户端、清缓存 | 仍复发 |
| 用户态 Hook | 逐字节比对进程内存与磁盘文件 | 崩溃点代码未被改写 |

---

## 六、希望协助的事项

1. **升级 EAIO 组件**:当前 4 个内核驱动均为 0.0.0.16(2026-07-24 版本),
   请提供适配 Windows 11 26H2 的新版本。

完整转储文件过大使用网盘上传
通过网盘分享的文件:EDR导致的浙政钉与蓝屏问题.zip

解决该疑问,预计可以帮助到 3451 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

等我来答:

换一批

发表新帖
热门标签
全部标签>
深小服案例集
每日一问
新版本体验
信服课堂视频
2026年技术争霸赛
知识大闯关
纪元平台
功能体验
用户认证
标准化排查
2025年技术争霸赛
测试报告
VPN 对接
排障笔记本
深小服
高手请过招
畅聊深小服
资源访问
技术盲盒
每周精选
课后茶话社
GIF动图学习
产品连连看
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
日志审计
问题分析处理
流量管理
每日一记
运维工具
原创分享
解决方案
sangfor周刊
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
地址转换
虚拟机
存储
迁移
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
社区新周刊
【 社区to talk】
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
声音值千金
工具体验官
产品知识周周练
产品体验官
有一说一
VMware替换
王者破雾峡谷
案例实践挑战
大规模VMware迁移替代
破雾实践案例

本版版主

11
35
5

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

二进制网络

本周分享达人