0.ring0-蓝屏dump分析流程详解

标签：

http://blog.csdn.net/hgy413/article/details/6451619

以下是自己分析dump的一些经验，个人之见

系统蓝屏后，会先出来一个提示：

也可以通过dump来看到:

打开MSDN对蓝屏的说明：http://msdn.microsoft.com/en-us/library/windows/hardware/hh994433(v=vs.85).aspx

找到0x19的说明：

再找到参数1为0x20的地方：

意思堆头大小被破坏，所以应该是堆分配问题!!!!!!!!!!!!!!!

所以看到0×19，第一个参数为20，第一反应是内存操作错误引发的
另一个常见错误是0×50，PAGE_FAULT_IN_NONPAGED_AREA，这种错误一般是对一个无效的地址进行了访问，如

windbg分析（有符号pdb）
这个要注意一下，因为是内核dump，所以如果把它提取出来到本机（不在虚拟机了），先把符号路径设置好（指向它的内核文件Pdb，如虚拟机是XP，就用xp的，再加上它的本地pdb路径）

蓝屏时候的现场上下文环境
这两者结合，一个是案发现场，一个是案发时现场的环境，结合起来才好办案

分析流程：
1.mov ecx,dword ptr [eax]： 指明了引发蓝屏的实际代码
2.eax=00000014:来自案发时现场的环境，这是个无效的值
3.代码：

4.dword ptr [ebp-8]是一个局部变量，保存到eax,Eax+dword ptr [ebp-14h]局部变量
5.结合代码：Segment = *(PULONG)((ULONG)SectionObject + SegmentOffset);时蓝屏了
6.结合案发环境：ebp=f8935c6c：

相加等于14，然后对14做指针取值，挂掉！

//-------------------------------------------------------------------------------------------------------------------------

windbg分析（无符号Pdb，结合IDA）

1.通过7e类型，第一个参数c0000005在MSDN找到这是个内存访问错误
2.查看汇编：

3.定位特征码：

机器码是：

4.IDA打开sys，切换到文本模式，搜索特征码：8b 08 89 4d fc 8b 55 fc 52
直接Search–>sequence of bytes或快捷Alt+b

双击即可跳到指定的代码位置，对比就很清楚代码来自哪

0.ring0-蓝屏dump分析流程详解

标签：

原文地址：http://www.cnblogs.com/gamekk/p/4839934.html