提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

windbg分析蓝屏

|

问题描述

windbg工具介绍
1、WinDbg 是专门为Windows NT 系列操作系统设计的调试器,一直跟随 NT 操作系统的发展而不断发展完善,并且覆盖到Windows平台下各种不同类型的操作系统;
2、WinDbg是在windows平台下,强大的用户态和内核态调试工具。它能够通过dmp文件轻松的定位到问题根源,可用于分析蓝屏、程序崩溃(IE崩溃)原因,是我们日常工作中必不可少的一个有力工具,学会使用它,将有效提升我们的问题解决效率和准确率。
3、CTI内部实验平台windbg环境见附件

工具支持使用环境:
windows基于NT的x86、x64 和Itanium(安腾)都支持安装运行


解决方案

一、windbg分析第一步
先确认你的网络环境能不能访问微软的符号表,我们分析dump的话必须要依赖于符号表,如果没有符号表就无法进行分析,而我们目前常用的符号表就是从微软下载的,如果确认自己的电脑可以连上微软的符号表呢?直接访问http://msdl.microsoft.com/download/symbols   如果到了下面这个页面说明你的电脑就可以访问符号表了,就可以进行下一步了

二、windbg下载与安装
下载:
Windbg是微软的官方组件,咱们直接百度搜索windbg,看到是微软官网的直接进去就行(不要下载其他什么软件园呀之类的可能带捆绑软件)




安装:
双击运行,安装位置选默认(这个安装目录要记一下,后面要用到),下一步,选中Debugging Tools for Windows

点击download后静等完成

完成后,咱们的windbg就装好了
三、windbg分析环境搭建
1、本地创建符号表下载目录,如图在D盘创建一个symbols目录用来存放分析dump时从微软下载的符号表,最好是放在一个空间

1、环境变量配置
先找到软件的安装目录

设置环境变量




将C:\Program Files (x86)\Windows Kits\10\Debuggers\x64  这个安装目录(我的是64位系统所以是x64)粘贴到用户变量和系统变量的path下面,前面如果已经有其他进程用英文分号隔开,然后点击确定保存


打开cmd,输入windbg,如果可以直接出来windbg的进程则说明设置成功

再次打开环境变量,在系统变量处新建一个变量名为_NT_SYMBOL_PATH变量值为SRV*D:\symbols*http://msdl.microsoft.com/download/symbols的系统变量(D:\symbols是之前手动创建的存取符号表的目录,根据自己创建的目录可自行配置,http://msdl.microsoft.com/download/symbols是下载符号表的链接)

到了这一步,我们的windbg环境就搭好了,拿到dump直接分析就行,软件内也不需要做其他配置了
四、windbg分析
1、Cmd打开windbg,随便找个dump文件拖到windbg里面


2、如上图就说明配置的环境变量生效了,在命令输出入窗口输入!sym noisy(这个命令可以让dump分析更加全面,建议分析dump第一步先输入这个)

3、点击蓝色的!analyze -v或者手动输入进行dump分析,分析的时候关注下存放符号表的目录如下图,本来是空文件夹,分析时会自动下载符号表,产生数据了就说明下载成功了,windbg环境也就搭好了

4、具体分析时我们要关注的点


如下图所示,最后执行!process命令验证触发蓝屏的程序到底是否正确即可

看了这么多信息之后,这个蓝屏dmp到底是怎么回事呢?根据dmp给出的信息,应该是:PC开机0天(days)0小时14分23秒581毫秒时,一个名为PinyinUp.exe触发了KiMsgProtect.sys这个驱动的一个Bug,导致蓝屏。
那么PinyinUp.exe和KiMsgProtect.sys都是哪个厂商的?
       使用lmvm KiMsgProtect和lmvm PinyinUp 确认驱动的路径后,去用户的机器上找发现PinyinUp.exe是搜狗输入法的自动升级程序,KiMsgProtect.sys是恒信一卡通这个计费软件的驱动,所以这个蓝屏dmp的原因是搜狗拼音升级调用了恒信一卡通的驱动导致系统蓝屏!

注意:若是不确认驱动是什么软件携带的,可以通过查看驱动签名或者网上查询的方式确认
蓝屏的解决办法:
方法1:将搜狗输入法的自动升级程序重命名(PinyinUp.exe重命名为PinyinUp.exe.bak);
方法2:设置禁止搜狗输出法自动升级

方法3:找恒信一卡通确认这个KiMsgProtect.sys是否需要使用,如果不需要,重命名KiMsgProtect.sys为KiMsgProtect.sys.bak

windbg分析蓝屏(已搭建平台).doc

425 KB, 下载次数: 33

山西众成达_李政 发表于 2023-7-24 11:14
  
楼主分析的很详细,不错的实战经验,小白用户一看就懂,非常好的技术干货帖,顶一个!

我要分享
文档编号: 251547
作者: admin
更新时间: 2023-05-12 14:36
适用版本: