Crowd Strike内核态驱动蓝屏原因（非正式）

飞向梦想

我只是很纳闷，下发之前，没有客户端简单测试的吗？100%复现的已经不叫BUG了吧？可以叫攻击了。
还是说，大公司也是草班子？

wowocock

后台找了个DUMP看了下

DisaPDB

从dmp上来看出问题的是

1. STACK_TEXT:  
   
2. fffffd89`395719b8 fffff805`770b1fb0     : 00000000`00000050 ffffe400`000000a8 00000000`00000000 fffffd89`39571be0 : nt!KeBugCheckEx
   
3. fffffd89`395719c0 fffff805`76e3014c     : ffffe400`ebeecac8 00000000`00000000 00000000`00000000 ffffe400`000000a8 : nt!MiSystemFault+0x1b9d60
   
4. fffffd89`39571ac0 fffff805`7702917e     : ffffc084`d2694868 00000000`00000001 fffffd89`39571fe0 fffffd89`39571fe0 : nt!MmAccessFault+0x29c
   
5. fffffd89`39571be0 fffff805`893414ed     : 00000000`00000000 fffffd89`39571e70 ffffe401`0a0d600c ffffe401`0a0ce05c : nt!KiPageFault+0x37e
   
6. fffffd89`39571d70 00000000`00000000     : fffffd89`39571e70 ffffe401`0a0d600c ffffe401`0a0ce05c ffffe400`e7000140 : csagent+0xe14ed
   

复制代码

1. csagent+0xe14ed:
   
2. fffff805`893414ed 458b08          mov     r9d,dword ptr [r8] ds:ffffe400`000000a8=????????
   
3. Resetting default scope
   

复制代码

反正肯定这东西指向地址r8是无效的，不管是空指针还是野指针都是纯纯逆天