Анализ дампа памяти в Windows при BSOD с помощью WinDBG

В момент критического сбоя операционная система Windows прерывает работу и показывает синий экран смерти (BSOD). Содержимое оперативной памяти и вся информация о возникшей ошибке записывается в файл подкачки. При следующей загрузке Windows создается аварийный дамп c отладочной информацией на основе сохраненных данных. В системном журнале событий создается запись о критической ошибке.

Типы аварийных дампов памяти Windows

На примере актуальной операционной системы Windows 10 (Windows Server 2016) рассмотрим основные типы дампов памяти, которые может создавать система:

• Мини дамп памяти (Small memory dump) (256 КБ). Этот тип файла включает минимальный объем информации. Он содержит только сообщение об ошибке BSOD, информацию о драйверах, процессах, которые были активны в момент сбоя, а также какой процесс или поток ядра вызвал сбой.
• Дамп памяти ядра (Kernel memory dump). Как правило, небольшой по размеру — одна треть объема физической памяти. Дамп памяти ядра является более подробным, чем мини дамп. Он содержит информацию о драйверах и программах в режиме ядра, включает память, выделенную ядру Windows и аппаратному уровню абстракции (HAL), а также память, выделенную драйверам и другим программам в режиме ядра.
• Полный дамп памяти (Complete memory dump). Самый большой по объему и требует памяти, равной оперативной памяти вашей системы плюс 1MB, необходимый Windows для создания этого файла.
• Автоматический дамп памяти (Automatic memory dump). Соответствует дампу памяти ядра с точки зрения информации. Отличается только тем, сколько места он использует для создания файла дампа. Этот тип файлов не существовал в Windows 7. Он был добавлен в Windows 8.
• Активный дамп памяти (Active memory dump). Этот тип отсеивает элементы, которые не могут определить причину сбоя системы. Это было добавлено в Windows 10 и особенно полезно, если вы используете виртуальную машину, или если ваша система является хостом Hyper-V.

Как включить создание дампа памяти в Windows?

С помощью Win+Pause откройте окно с параметрами системы, выберите «Дополнительные параметры системы» (Advanced system settings). Во вкладке «Дополнительно» (Advanced), раздел «Загрузка и восстановление» (Startup and Recovery) нажмите кнопку «Параметры» (Settings). В открывшемся окне настройте действия при отказе системы. Поставьте галку в чек-боксе «Записать события в системный журнал» (Write an event to the system log), выберите тип дампа, который должен создаваться при сбое системы. Если в чек-боксе «Заменять существующий файл дампа» (Overwrite any existing file) поставить галку, то файл будет перезаписываться при каждом сбое. Лучше эту галку снять, тогда у вас будет больше информации для анализа. Отключите также автоматическую перезагрузку системы (Automatically restart).

В большинстве случаев для анализа причины BSOD вам будет достаточно малого дампа памяти.

Теперь при возникновении BSOD вы сможете проанализировать файл дампа и найти причину сбоев. Мини дамп по умолчанию сохраняется в папке %systemroot%\minidump. Для анализа файла дампа рекомендую воспользоваться программой WinDBG (Microsoft Kernel Debugger).

Установка WinDBG в Windows

Утилита WinDBG входит в «Пакет SDK для Windows 10» (Windows 10 SDK). Скачать можно здесь.

Файл называется winsdksetup.exe, размер 1,3 МБ.

Запустите установку и выберите, что именно нужно сделать – установить пакет на этот компьютер или загрузить для установки на другие компьютеры. Установим пакет на локальный компьютер.

Можете установить весь пакет, но для установки только инструмента отладки выберите Debugging Tools for Windows.

После установки ярлыки WinDBG можно найти в стартовом меню.

Настройка ассоциации .dmp файлов с WinDBG

Для того, чтобы открывать файлы дампов простым кликом, сопоставьте расширение .dmp с утилитой WinDBG.

1. Откройте командную строку от имени администратора и выполните команды для 64-разрядной системы: cd C:\Program Files (x86)\Windows Kits\10\Debuggers\x64
   windbg.exe –IA
   для 32-разрядной системы:
   C:\Program Files (x86)\Windows Kits\10\Debuggers\x86
   windbg.exe –IA
2. В результате типы файлов: .DMP, .HDMP, .MDMP, .KDMP, .WEW – будут сопоставлены с WinDBG.

Настройка сервера отладочных символов в WinDBG

Отладочные символы (debug-символы или symbol files) – это блоки данных, генерируемые в процессе компиляции программы совместно с исполняемым файлом. В таких блоках данных содержится информация о именах переменных, вызываемых функциях, библиотеках и т.д. Эти данные не нужны при выполнении программы, но полезные при ее отладке. Компоненты Microsoft компилируются с символами, распространяемыми через Microsoft Symbol Server.

Настройте WinDBG на использование Microsoft Symbol Server:

• Откройте WinDBG;
• Перейдите в меню File –>Symbol File Path;
• Пропишите строку, содержащую URL для загрузки символов отладки с сайта Microsoft и папку для сохранения кэша: SRV*E:\Sym_WinDBG*http://msdl.microsoft.com/download/symbols В примере кэш загружается в папку E:\Sym_WinDBG, можете указать любую.
• Не забывайте сохранить изменения в меню File –>Save WorkSpace;

WinDBG произведет поиск символов в локальной папке и, если не обнаружит в ней необходимых символов, то самостоятельно загрузит символы с указанного сайта. Если вы хотите добавить собственную папку с символами, то можно сделать это так:

Если подключение к интернету отсутствует, то загрузите предварительно пакет символов с ресурса Windows Symbol Packages.

Анализ аварийного дампа памяти в WinDBG

Отладчик WinDBG открывает файл дампа и загружает необходимые символы для отладки из локальной папки или из интернета. Во время этого процесса вы не можете использовать WinDBG. Внизу окна (в командной строке отладчика) появляется надпись Debugee not connected.

Команды вводятся в командную строку, расположенную внизу окна.

Самое главное, на что нужно обратить внимание – это код ошибки, который всегда указывается в шестнадцатеричном значении и имеет вид 0xXXXXXXXX (указываются в одном из вариантов — STOP: 0x0000007B, 02.07.2019 0008F, 0x8F). В нашем примере код ошибки 0х139.

Отладчик предлагает выполнить команду !analyze -v, достаточно навести указатель мыши на ссылку и кликнуть. Для чего нужна эта команда?

• Она выполняет предварительный анализ дампа памяти и предоставляет подробную информацию для начала анализа.
• Эта команда отобразит STOP-код и символическое имя ошибки.
• Она показывает стек вызовов команд, которые привели к аварийному завершению.
• Кроме того, здесь отображаются неисправности IP-адреса, процессов и регистров.
• Команда может предоставить готовые рекомендации по решению проблемы.

Основные моменты, на которые вы должны обратить внимание при анализе после выполнения команды !analyze –v (листинг неполный).

*****************************************************************************
* *
* Bugcheck Analysis *
* *
*****************************************************************************
Символическое имя STOP-ошибки (BugCheck)
KERNEL_SECURITY_CHECK_FAILURE (139)
Описание ошибки (Компонент ядра повредил критическую структуру данных. Это повреждение потенциально может позволить злоумышленнику получить контроль над этой машиной):

A kernel component has corrupted a critical data structure. The corruption could potentially allow a malicious user to gain control of this machine.
Аргументы ошибки:

Arguments:
Arg1: 0000000000000003, A LIST_ENTRY has been corrupted (i.e. double remove).
Arg2: ffffd0003a20d5d0, Address of the trap frame for the exception that caused the bugcheck
Arg3: ffffd0003a20d528, Address of the exception record for the exception that caused the bugcheck
Arg4: 0000000000000000, Reserved
Debugging Details:
——————

Счетчик показывает сколько раз система упала с аналогичной ошибкой:

Основная категория текущего сбоя:

Код STOP-ошибки в сокращенном формате:

Процесс, во время исполнения которого произошел сбой (не обязательно причина ошибки, просто в момент сбоя в памяти выполнялся этот процесс):

Расшифровка кода ошибки: В этом приложении система обнаружила переполнение буфера стека, что может позволить злоумышленнику получить контроль над этим приложением.

ERROR_CODE: (NTSTATUS) 0xc0000409 — The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.
EXCEPTION_CODE: (NTSTATUS) 0xc0000409 — The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.

Последний вызов в стеке:

LAST_CONTROL_TRANSFER: from fffff8040117d6a9 to fffff8040116b0a0

Стек вызовов в момент сбоя:

STACK_TEXT:
ffffd000`3a20d2a8 fffff804`0117d6a9 : 00000000`00000139 00000000`00000003 ffffd000`3a20d5d0 ffffd000`3a20d528 : nt!KeBugCheckEx
ffffd000`3a20d2b0 fffff804`0117da50 : ffffe000`f3ab9080 ffffe000`fc37e001 ffffd000`3a20d5d0 fffff804`0116e2a2 : nt!KiBugCheckDispatch+0x69
ffffd000`3a20d3f0 fffff804`0117c150 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiFastFailDispatch+0xd0
ffffd000`3a20d5d0 fffff804`01199482 : ffffc000`701ba270 ffffc000`00000001 000000ea`73f68040 fffff804`000006f9 : nt!KiRaiseSecurityCheckFailure+0x3d0
ffffd000`3a20d760 fffff804`014a455d : 00000000`00000001 ffffd000`3a20d941 ffffe000`fcacb000 ffffd000`3a20d951 : nt! ?? ::FNODOBFM::`string’+0x17252
ffffd000`3a20d8c0 fffff804`013a34ac : 00000000`00000004 00000000`00000000 ffffd000`3a20d9d8 ffffe001`0a34c600 : nt!IopSynchronousServiceTail+0x379
ffffd000`3a20d990 fffff804`0117d313 : ffffffff`fffffffe 00000000`00000000 00000000`00000000 000000eb`a0cf1380 : nt!NtWriteFile+0x694
ffffd000`3a20da90 00007ffb`475307da : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13
000000ee`f25ed2b8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffb`475307da

Участок кода, где возникла ошибка:

FOLLOWUP_IP:
nt!KiFastFailDispatch+d0
fffff804`0117da50 c644242000 mov byte ptr [rsp+20h],0
FAULT_INSTR_CODE: 202444c6
SYMBOL_STACK_INDEX: 2
SYMBOL_NAME: nt!KiFastFailDispatch+d0
FOLLOWUP_NAME: MachineOwner

Имя модуля в таблице объектов ядра. Если анализатору удалось обнаружить проблемный драйвер, имя отображается в полях MODULE_NAME и IMAGE_NAME:

MODULE_NAME: nt
IMAGE_NAME: ntkrnlmp.exe

Если кликнете по ссылке модуля (nt), то увидите подробную информацию о пути и других свойствах модуля. Находите указанный файл, и изучаете его свойства.

1: kd> lmvm nt
Browse full module list
Loaded symbol image file: ntkrnlmp.exe
Mapped memory image file: C:\ProgramData\dbg\sym\ntoskrnl.exe\5A9A2147787000\ntoskrnl.exe
Image path: ntkrnlmp.exe
Image name: ntkrnlmp.exe
InternalName: ntkrnlmp.exe
OriginalFilename: ntkrnlmp.exe
ProductVersion: 6.3.9600.18946
FileVersion: 6.3.9600.18946 (winblue_ltsb_escrow.180302-1800)

В приведенном примере анализ указал на файл ядра ntkrnlmp.exe. Когда анализ дампа памяти указывает на системный драйвер (например, win32k.sys) или файл ядра (как в нашем примере ntkrnlmp.exe), вероятнее всего данный файл не является причиной проблемы. Очень часто оказывается, что проблема кроется в драйвере устройства, настройках BIOS или в неисправности оборудования.

Если вы увидели, что BSOD возник из-за стороннего драйвера, его имя будет указано в значениях MODULE_NAME и IMAGE_NAME.

Image path: \SystemRoot\system32\drivers\cmudaxp.sys
Image name: cmudaxp.sys

Откройте свойсва файла драйвера и проверьте его версию. В большинстве случаев проблема с драйверами решается их обнвовлением.

Синий экран смерти Windows [BSOD]

Те кто пользуются компьютерами не первый год, наверняка сталкивались с BSOD — синий экран смерти.
Это когда на мониторе компьютера внезапно появляется синий экран с белыми надписями на английском языке. При этом вы ничего не можете сделать кроме как перезагрузить компьютер либо он сам автоматически перезагружается.

BSOD — синий экран смерти. Общая информация.

Синий экран смерти (англ. Blue Screen of Dead — BSoD) — сообщает пользователю о критической системной ошибке, с которой сама система не может справиться. Такая ошибка может возникнуть в любой версии Windows. Связана она чаще всего с неправильной работой какого нибудь драйвера. Это когда драйвер пытается выполнить недопустимую операцию. Помимо драйверов к синему экрану могут привести неисправности с железом, перегрев комплектующих.
Синий экран по сути предохраняет систему, железо от ещё большего ущерба, к которому может привести работа неисправной системы. При возникновении критической ошибки, система по возможности блокирует все в системе и вылетает в BSOD. При этом создаётся дамп, куда записывается имеющаяся информация по данной ошибке. Непосредственно на сам монитор также выводится сообщение с кодом ошибки, для возможного самостоятельного её устранения. В системный журнал также производится запись с параметрами ошибки.
Вот так выглядит
смерть компьютера синий экран смерти Windows 7 и 8, а также для XP. Все что написано до строчки Technical Information нас не интересует. Там всегда одно и тоже — описываются возможные причины ошибки. А вот, то, что написано ниже важно. Здесь может быть отображена следующая информация:

• код ошибки либо его символьное наименование (например C0000145, Application Error)
• 4 параметра, предназначенные для отладочного программного обеспечения (значения параметров будут различаться в зависимости от кода ошибки)
• название проблемного драйвера
• адрес ошибки (не всегда возможно его указать)

Синий экран смерти windows 10 выглядит уже иначе.
В последних версиях Windows 10, на синий экран смерти разработчики добавили qr-код, при считывании которого камерой, смартфон перекидывает на страницу техподдержки Microsoft. Также добавлен и стоп код (Stop code), который нужно сообщить специалистам техподдержки для оказания помощи пользователям в исправлении ошибки.
Примечательно, что синий экран смерти можно вызвать и вручную. Для этого нужно удерживать кнопку CTRL и дважды нажать на кнопку Scroll Lock . С помощью такого BSOD можно получить дамп памяти в определённый момент времени, например когда система начинает тормозить.

Как правильно настроить создание дампов на компьютере

Те кто встречались с синим экраном смерти, возможно сталкивались с тем, что зачастую не успеваешь сфотографировать либо записать код ошибки, так как компьютер сразу автоматически перезагружается. А не зная информации по коду ошибки сложнее будет её исправить. Поэтому нужно отключить автоматическую перезагрузку системы при возникновении ошибки. Для перехода к настройкам отладочной информации в операционной системе в Windows 10:

1. Запустите команду Пуск-Выполнить (комбинация кнопок + R ).
2. Введите команду SystemPropertiesAdvanced и выполните её нажав Enter .
3. Откроется окно Свойства системы. Здесь в разделе Загрузка и восстановление нажмите на кнопку Параметры.
4. В окне Загрузка и восстановление нужно снять галочку с пункта Выполнить автоматическую перезагрузку. Тут же в разделе Запись отладочной информации среди вариантов дампов выберите Малый дамп памяти (256kb). Можете использовать скриншот как шпаргалку для настроек. Про разницу в различных вариантах дампов напишу ниже.

Для перехода к настройкам отладочной информации в ОС Windows 7 и Windows 8 можете воспользоваться тем же способом, что и в Windows 10 либо через путь: Пуск ⇒ Панель управления ⇒ Система и безопасность ⇒ Система ⇒ Дополнительные параметры системы ⇒ вкладка Дополнительно ⇒ подраздел Загрузка и восстановление ⇒ Параметры . Для этих ОС, также как и для Windows 10 выставьте идентичные настройки.

Малый дамп памяти – либо мини дамп. Весит всего 256 Килобайт. В мини дампе хранится основная информация по BSOD и системным процессам. Если необходимо узнать причину синего экрана смерти, то малого дампа памяти как раз будет достаточно.
Дамп памяти ядра – содержится информация по памяти используемой ядром системы.
Полный дамп памяти – объем файла такого дампа будет равен размеру оперативки установленной в систему. При записи такого дампа не редко возникают проблемы, если на компьютере установлено более 4гб ОЗУ. Объём файла подкачки при таком дампе должен быть больше объёма оперативной памяти.
Автоматический дамп памяти — практически идентичен дампу памяти ядра. Единственное отличие в том, что система сама автоматически выбирает объём файла подкачки. Впервые появился в Windows 8.
Активный дамп памяти – первое появление в Windows 10. В основном используется в серверах, для записи информации по используемой активной памяти. Такой дамп например позволяет исключить информацию о памяти виртуальных машин на сервере.

Дампы хранятся по пути, которые указаны в настройках. По умолчанию это %SystemRoot%, то есть это C:\Windows\. Файлы дампа памяти хранятся в формате .dmp Малый дамп сохраняется как Minidump.dmp, а полный с именем Memory.dmp

Наиболее частые причины возникновения синего экрана смерти

• Сбои связанные с драйверами
• Деятельность вирусов
• Сбои и конфликт устройств (чаще жёсткий диск либо оперативная память)
• Конфликт программ (например: два антивируса одновременно установленных на один компьютер, в одну систему)
• Перегрев комплектующих

Напоследок

Наиболее частые причины возникновения синего экрана смерти связаны с драйверами. Установить какой именно драйвер даёт сбой сложно, если не знать, как анализировать информацию об ошибке, которую даёт нам код ошибки и малый дамп памяти. Как раз об анализе дампа памяти будет следующая статья на этом сайте. Если вы знаете в каком драйвере проблема, то нужно удалить проблемный драйвер и обновить его до более новой версии, либо откатить на более стабильную старую версию. Для обновления драйверов можно воспользоваться одной из программ, о которых говорилось в статье «Как скачать, обновить драйвера автоматически».
На втором месте BSOD связанный со сбоями HDD. Проверить жесткий диск на ошибки можно программой HDD Life.
На третьем месте ошибки связанные со сбоями оперативной памяти. Проверить оперативную память можно с помощью программы Memtest.
Ну а проверить, не является ли причиной синих экранов смерти перегрев комплектующих, можно с помощью программы HWMonitor либо Aida64.
В ближайшее время про эти программы выйдут обзоры на проекте. Не пропустите! А на сегодня пока все. Желаю вам не сталкиваться со смертью компьютера и чтоб ваш железный друг всегда был здоров.