海尔-微软金牌讲师培训课件09 诊断和调试系统蓝屏.pptVIP

Module 9: Blue Screen Troubleshooting Overview 初识蓝屏 Windows蓝屏解析 蓝屏错误分析和调试 初识蓝屏 Windows操作系统的终极错误报告方式 俗称BSOD（Blue Screen Of Death） 对普通用户来说，只能重新启动，可能会造成数据的丢失 蓝屏的定义 When Microsoft Windows encounters a condition that compromises safe system operation, the system halts. This condition is called a bug check. It is also commonly referred to as a system crash, a kernel error, or a Stop error. ------DDK Compromises---损害、危及…的安全 Halt---停止 为什么要蓝屏 OS检测到违反系统规则的行为或者危及系统安全的情况 操作系统将内核态的代码看作是可信任代码（trusted code） 系统有哪些规则 保护规则-----CPU的保护模式 低特权级的代码不可以直接执行和访问高特权级的代码和数据。无论是否有意！ 低特权级的代码不可以执行特权指令 异常处理规则 谁引发，谁处理 未处理异常，后果很严重 SDK、DDK中定义的操作系统规则 例如很多DDK中公开的内核函数只能在特定的IRQL时调用 蓝屏的哲学 继续运行可能导致更严重的后果 让系统以可控的方式停止运行 在事故的第一现场停止，便于发现问题 是操作系统的积极动作 减少蓝屏的机会 提高内核代码质量 加强测试，WHQL测试 其它操作系统也有类似的机制，如Linux的Panic，也叫Oops 导致蓝屏的常见原因 劣质的驱动程序 硬件错误 内核代码中残留的Bug 细看蓝屏 停止代码（Stop Code）和参数 蓝屏的错误代码 括号中为参数，描述更进一步的错误信息 查询停止的代码和参数含义 微软知识库（KB）, WinDebug的帮助文件 F4—关键对象中止 3---进程对象 0x816A9DA8----对象指针 0x816A9F1C----进程的映像名 0x805FA19A----解释信息 蓝屏的产生过程 BugCheck() - BugCheckEx() - KeBegCheck2 KeBegCheck2 关闭中断 停止其它CPU 绘制蓝屏 调用注册的回调函数 转储 蓝屏总被绘制 内核转储 对包括内核状态在内的整个系统的即时快照（Snapshot） 可以配置 类型，包括内容 None Small Kernel Complete 存放位置 %SystemRoot%\Minidump %SystemRoot%\MEMORY.DMP 内核转储失败的原因 系统禁止了Paging File 位于启动盘的Paging file太小 磁盘剩余空间不足，不足以保存dump文件 错误殃及到了用于转储的数据结构或函数 存储驱动程序没有实现好dump I/O的例程 使用热键强制系统转储 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Serivces\i8042prt\Parameters REG_DWORD CrashOnCtrlScroll=1 Ctrl+ScrollLock 触发系统蓝屏 需要PS2键盘 WinDebug的使用 使用WinDebug可以进行Dump文件的调试 Course Evaluation * * CPU指令集，低权限代码无法调用高级指令集，如应用程序，驱动。否则会造成cpu自我保护，造成蓝屏。 * 系统可以控制，并停止，不会造成进一步破坏 * * * * CPU指令集，低权限代码无法调用高级指令集，如应用程序，驱动。否则会造成cpu自我保护，造成蓝屏。 * 系统可以控制，并停止，不会造成进一步破坏 * *