Min-of-meer mee eens, in de zin dat geheugencorruptie dit BSOD-type goed
zou kunnen veroorzaken, dan zijn de details grotendeels irrelevant.
Je kunt dus het beste allereerst controleren hoe consistent de bluescreens zijn. Bij compleet willekeurige geheugencorruptie zou je op den duur ook zeker eens tegen een PAGE_FAULT_IN_NON_PAGED_AREA, MEMORY_MANAGEMENT of PFN_LIST_CORRUPT moeten aanlopen.
RiDo78 schreef op donderdag 9 maart 2017 @ 09:22: De output in mijn eerste post is de conclusie waar windbg mee komt na !analyse. Mocht je dat niet genoeg vinden, voel je dan vrij om zelf een analyse uit te voeren. Zoals ik al zei, ik ben geen die-hard debugger, dus wellicht dat iemand anders met meer ervaring tot een andere conclusie komt.

Ik kan niet vinden hoe WinDbg de BUCKET_ID exact bepaalt, maar ik heb het vermoeden dat dit enerzijds komt omdat er geen driver op de call stack zit die hij de schuld kan geven, en anderszijds !chkimg een hoop gewijzigde kernelcode rapporeert.
Dat laatste is opmerkelijk (zie ook
Does Windbg's “!chkimg” report false-positives on W10?), maar het lijkt er sterk op dat dit komt door
PTE_BASE randomization.
Klaarblijkelijk houdt WinDbg geen rekening met die relocations..
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high. This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 0000000000000028, memory referenced
Arg2: 0000000000000002, IRQL
Arg3: 0000000000000000, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: fffff8006a005759, address which referenced memory
fffff800`6a005759 488b4628 mov rax,qword ptr [rsi+28h] ds:00000000`00000028=???????????????? |
Null pointer dereference.
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
| 2: kd> kb
# RetAddr : Args to Child : Call Site
00 fffff800`69fd4829 : 00000000`0000000a 00000000`00000028 00000000`00000002 00000000`00000000 : nt!KeBugCheckEx
01 fffff800`69fd2e07 : ffff958f`43b08110 00000000`00466bbd a2400004`66bbd22d ffffc20b`29100580 : nt!KiBugCheckDispatch+0x69
02 fffff800`6a005759 : 00000000`00315298 00000000`00000000 00000000`00000040 fffff800`69eecd55 : nt!KiPageFault+0x247
03 fffff800`69eebc9a : 00000000`00000011 ffffea00`00080988 ffffaf01`676496b8 00000000`00000000 : nt! ?? ::FNODOBFM::`string'+0x2cbc9
04 fffff800`6a361d04 : 00000000`00000003 00000000`00000001 00000000`00009000 00000000`00000000 : nt!MmProbeAndLockPages+0x25a
05 fffff800`6a36192f : 00000000`0f48e200 00000000`00000010 ffffc20b`240cfe90 00000000`00000001 : nt!MmCopyVirtualMemory+0x364
06 fffff800`6a3617cb : ffffc20b`2b8b1080 00000000`0f48e2a8 ffffaf01`67649a28 00000000`0f58f4d0 : nt!MiReadWriteVirtualMemory+0x15f
07 fffff800`69fd4393 : 00000000`00664000 00000000`00000000 fffff800`69e582e0 fffff800`6a1c1180 : nt!NtReadVirtualMemory+0x1b
08 00007ffc`836268b4 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13
09 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffc`836268b4
2: kd> u nt!MmProbeAndLockPages+0x255
nt!MmProbeAndLockPages+0x255:
fffff800`69eebc95 e8c6080000 call nt!MiProbeLeafFrame (fffff800`69eec560)
fffff800`69eebc9a 8bd8 mov ebx,eax |
Er komt geen driver aan te pas, er lijkt iets stuk te gaan diep in de Windows memory management internals
code:
1
2
3
4
5
6
7
8
| 2: kd> lmsmnto
start end module name
fffff808`077d0000 fffff808`077d4e00 LGBusEnum LGBusEnum.sys Mon Jun 13 20:47:08 2016 (575EFFAC)
fffff808`084b0000 fffff808`084b8000 lgcoretemp lgcoretemp.sys Tue Jun 9 18:52:10 2015 (557719BA)
fffff808`077e0000 fffff808`077ec800 LGJoyXlCore LGJoyXlCore.sys Mon Jun 13 20:47:06 2016 (575EFFAA)
fffff808`08420000 fffff808`08435000 LGSHidFilt LGSHidFilt.Sys Thu May 30 17:16:33 2013 (51A76D51)
fffff808`03f10000 fffff808`03f12500 LGVirHid LGVirHid.sys Mon Jun 13 20:47:03 2016 (575EFFA7)
fffff808`02d40000 fffff808`02d4c1a0 PxHlpa64 PxHlpa64.sys Mon Oct 17 16:29:34 2011 (4E9C3BCE) |
Oude drivers kunnen soms problematisch zijn, maar ik ben er niet van overtuigd dat dat hier aan de hand is. Google levert namelijk wat zeer recente resultaten met exact dezelfde merkwaardige stack trace. Misschien valt daar een gemene deler uit te extraheren?
TS, klopt het dat je altijd
exact dezelfde bluescreen (incl. parameters) krijgt? Dit kun je checken met Bluescreenview?
Dan lijkt het toch sterk op een softwareprobleem. Helaas wijst de BSOD enkel naar Microsoft-code, die hebben hun zaakjes (meestal) wel op orde. Heel misschien is Driver Verifier hier nuttig, maar dat is allemaal niet erg gebruiksvriendelijk.