蓝屏了，360电脑专家蓝屏修复没分析出原因

沧桑浪子

蓝屏了，360电脑专家蓝屏修复没分析出原因

求大牛分析

怎么样了

周末了

估计要等等

xxm2011

1. *******************************************************************************
   
2. *                                                                             *
   
3. *                        Bugcheck Analysis                                    *
   
4. *                                                                             *
   
5. *******************************************************************************
   
6. 
   
7. Use !analyze -v to get detailed debugging information.
   
8. 
   
9. BugCheck C2, {7, cd4, 0, 89428e58}
   
10. 
    
11. *** WARNING: Unable to verify timestamp for Hookport.sys
    
12. *** ERROR: Module load completed but symbols could not be loaded for Hookport.sys
    
13. GetUlongFromAddress: unable to read from 80562f50
    
14. GetUlongFromAddress: unable to read from 80566d50
    
15. Probably caused by : wdmaud.sys ( wdmaud!AudioFreeMemory+5d )
    
16. 
    
17. Followup: MachineOwner
    
18. ---------
    
19. 
    
20. 1: kd> !analyze -v
    
21. *******************************************************************************
    
22. *                                                                             *
    
23. *                        Bugcheck Analysis                                    *
    
24. *                                                                             *
    
25. *******************************************************************************
    
26. 
    
27. BAD_POOL_CALLER (c2)
    
28. The current thread is making a bad pool request.  Typically this is at a bad IRQL level or double freeing the same allocation, etc.
    
29. Arguments:
    
30. Arg1: 00000007, Attempt to free pool which was already freed
    
31. Arg2: 00000cd4, (reserved)
    
32. Arg3: 00000000, Memory contents of the pool block
    
33. Arg4: 89428e58, Address of the block of pool being deallocated
    
34. 
    
35. Debugging Details:
    
36. ------------------
    
37. 
    
38. GetUlongFromAddress: unable to read from 80566d50
    
39. 
    
40. POOL_ADDRESS:  89428e58
    
41. 
    
42. BUGCHECK_STR:  0xc2_7
    
43. 
    
44. CUSTOMER_CRASH_COUNT:  1
    
45. 
    
46. DEFAULT_BUCKET_ID:  DRIVER_FAULT
    
47. 
    
48. PROCESS_NAME:  QQ.exe
    
49. 
    
50. LAST_CONTROL_TRANSFER:  from 8054c583 to 804fafa3
    
51. 
    
52. STACK_TEXT:  
    
53. a915ba68 8054c583 000000c2 00000007 00000cd4 nt!KeBugCheckEx+0x1b
    
54. a915bab8 a974d4a8 89428e58 00000000 00000000 nt!ExFreePoolWithTag+0x2a3
    
55. a915bad0 a9751820 ffffffff a915baf0 00000001 wdmaud!AudioFreeMemory+0x5d
    
56. a915baf8 a9750a83 00000092 0000000e 8a9220e8 wdmaud!OpenWavePin+0x3ef
    
57. a915bb24 a9750382 8965c1f8 8a9220e8 00000000 wdmaud!Dispatch_OpenPin+0xb7
    
58. a915bb4c 804f01f9 00000010 88fc8000 806e8410 wdmaud!SoundDispatch+0x430
    
59. a915bb5c 805809a0 8965c28c 8961cac0 8965c1f8 nt!IopfCallDriver+0x31
    
60. a915bb70 8058182f 8996cf10 8965c1f8 8961cac0 nt!IopSynchronousServiceTail+0x70
    
61. a915bc0c 8057a292 00000d14 00001c64 00000000 nt!IopXxxControlFile+0x5c5
    
62. a915bc40 b7ef116d 00000d14 00001c64 00000000 nt!NtDeviceIoControlFile+0x2a
    
63. WARNING: Stack unwind information not available. Following frames may be wrong.
    
64. a915bd34 805427e8 00000d14 00001c64 00000000 Hookport+0x416d
    
65. a915bd34 7c92e514 00000d14 00001c64 00000000 nt!KiSystemServicePostCall
    
66. 0012d4d0 00000000 00000000 00000000 00000000 0x7c92e514
    
67. 
    
68. 
    
69. STACK_COMMAND:  kb
    
70. 
    
71. FOLLOWUP_IP:
    
72. wdmaud!AudioFreeMemory+5d
    
73. a974d4a8 5e              pop     esi
    
74. 
    
75. SYMBOL_STACK_INDEX:  2
    
76. 
    
77. SYMBOL_NAME:  wdmaud!AudioFreeMemory+5d
    
78. 
    
79. FOLLOWUP_NAME:  MachineOwner
    
80. 
    
81. MODULE_NAME: wdmaud
    
82. 
    
83. IMAGE_NAME:  wdmaud.sys
    
84. 
    
85. DEBUG_FLR_IMAGE_TIMESTAMP:  48025c3e
    
86. 
    
87. FAILURE_BUCKET_ID:  0xc2_7_wdmaud!AudioFreeMemory+5d
    
88. 
    
89. BUCKET_ID:  0xc2_7_wdmaud!AudioFreeMemory+5d
    
90. 
    
91. Followup: MachineOwner
    
92. ---------
    

复制代码

貌似是声卡驱动。

沧桑浪子

各位看下我提取的对吗？



Microsoft (R) Windows Debugger Version 6.11.0001.404 X86
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\Users\Administrator\Desktop\Mini072613-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: *** Invalid ***
****************************************************************************
* Symbol loading may be unreliable without a symbol search path.           *
* Use .symfix to have the debugger choose a symbol path.                   *
* After setting your symbol path, use .reload to refresh symbol locations. *
****************************************************************************
Executable search path is:
*********************************************************************
* Symbols can not be loaded because symbol path is not initialized. *
*                                                                   *
* The Symbol Path can be set by:                                    *
*   using the _NT_SYMBOL_PATH environment variable.                 *
*   using the -y <symbol_path> argument when starting the debugger. *
*   using .sympath and .sympath+                                    *
*********************************************************************
Unable to load image ntoskrnl.exe, Win32 error 0n2
*** WARNING: Unable to verify timestamp for ntoskrnl.exe
*** ERROR: Module load completed but symbols could not be loaded for ntoskrnl.exe
Windows XP Kernel Version 2600 (Service Pack 3) MP (2 procs) Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Machine Name:
Kernel base = 0x804d8000 PsLoadedModuleList = 0x8055e720
Debug session time: Fri Jul 26 22:17:12.140 2013 (GMT+8)
System Uptime: 0 days 3:11:26.836
*********************************************************************
* Symbols can not be loaded because symbol path is not initialized. *
*                                                                   *
* The Symbol Path can be set by:                                    *
*   using the _NT_SYMBOL_PATH environment variable.                 *
*   using the -y <symbol_path> argument when starting the debugger. *
*   using .sympath and .sympath+                                    *
*********************************************************************
Unable to load image ntoskrnl.exe, Win32 error 0n2
*** WARNING: Unable to verify timestamp for ntoskrnl.exe
*** ERROR: Module load completed but symbols could not be loaded for ntoskrnl.exe
Loading Kernel Symbols
...............................................................
................................................................
....
Loading User Symbols
Loading unloaded module list
........................
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck C2, {7, cd4, 0, 89428e58}

***** Kernel symbols are WRONG. Please fix symbols to do analysis.

*** WARNING: Unable to verify timestamp for wdmaud.sys
*** ERROR: Module load completed but symbols could not be loaded for wdmaud.sys
*** WARNING: Unable to verify timestamp for Hookport.sys
*** ERROR: Module load completed but symbols could not be loaded for Hookport.sys
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!PVOID                                      ***
***                                                                   ***
*************************************************************************
unable to get nt!MmSpecialPoolStart
unable to get nt!MmSpecialPoolEnd
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!_POOL_HEADER                               ***
***                                                                   ***
*************************************************************************
unable to get nt!MmPoolCodeStart
unable to get nt!MmPoolCodeEnd
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!_POOL_HEADER                               ***
***                                                                   ***
*************************************************************************
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!_POOL_TRACKER_BIG_PAGES                    ***
***                                                                   ***
*************************************************************************
Cannot get _POOL_TRACKER_BIG_PAGES type size
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!_KPRCB                                     ***
***                                                                   ***
*************************************************************************
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Your debugger is not using the correct symbols                 ***
***                                                                   ***
***    In order for this command to work properly, your symbol path   ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: nt!_KPRCB                                     ***
***                                                                   ***
*************************************************************************
*********************************************************************
* Symbols can not be loaded because symbol path is not initialized. *
*                                                                   *
* The Symbol Path can be set by:                                    *
*   using the _NT_SYMBOL_PATH environment variable.                 *
*   using the -y <symbol_path> argument when starting the debugger. *
*   using .sympath and .sympath+                                    *
*********************************************************************
*********************************************************************
* Symbols can not be loaded because symbol path is not initialized. *
*                                                                   *
* The Symbol Path can be set by:                                    *
*   using the _NT_SYMBOL_PATH environment variable.                 *
*   using the -y <symbol_path> argument when starting the debugger. *
*   using .sympath and .sympath+                                    *
*********************************************************************
Probably caused by : wdmaud.sys ( wdmaud+4a8 )

Followup: MachineOwner
---------

1: kd>
1: kd>
1: kd>
1: kd>

0dayKiller

内存破坏，从DUMP 上看不到原因。

如果总是发生的话，可以开一下驱动校验器看看。

ssama

Hookport.sys+f126ed34       
0xb7eed000        0xb7efd780        0x00010780        0x51c94b14                       
ntoskrnl.exe+22fa3       
0x804d8000        0x806e6000        0x0020e000        0x518306ed               
wdmaud.sys+42e8       
0xa974d000        0xa9761480        0x00014480        0x48025c3e

淡淡玉

ssama 发表于 2013-7-27 14:55
Hookport.sys+f126ed34       
0xb7eed000        0xb7efd780        0x00010780        0x51c94b14                       
ntoskrnl.exe+22fa3       

冤枉360了

0dayKiller

ssama 发表于 2013-7-27 14:55
Hookport.sys+f126ed34       
0xb7eed000        0xb7efd780        0x00010780        0x51c94b14                       
ntoskrnl.exe+22fa3       

半瓶醋看不懂DUMP，你就别说什么冲突了，就你这样还吐槽？

沧桑浪子

淡淡玉 发表于 2013-7-27 21:26
冤枉360了

玉哥，你看我4楼提取的对吗？怎么和3楼的不一样？提取用的软件不一样吗？还是同样的软件选择的地方不同？

0dayKiller

沧桑浪子 发表于 2013-7-28 09:55
玉哥，你看我4楼提取的对吗？怎么和3楼的不一样？提取用的软件不一样吗？还是同样的软件选择的地方不同？

因为你没配置符号