Nothing Is Secret

蓝屏，谁之过？

Bug总能在你意想不到的地方给你个措手不及，只是它所带来并不是惊喜，而是Blue Screen Of Death !

既如此，只能兵来将挡。

先介绍一下程序的大体流程：

NTSTATUS
XXXProcessDirents(…)
{    
    do {
        KeEnterCriticalRegion();
        ExAcquireResourceSharedLite(&fcb->Resource, TRUE);

        /* access several members of fcb structure */
        ExReleaseResourceLite(&fcb->Resource);
        KeLeaveCriticalRegion();

         XXXXProcessDirent(…);

    } while (list_is_not_empty(….));

    return status;
}

NTSTATUS
XXXXProcessDirent(…)
{
    HANDLE handle = NULL;
    XXXX_FILE_HEADE fileHead;
    ……

    /* open file */
    status = ZwCreateFile(&handle, GENERIC_READ, &oa, &iosb, NULL, 0,
                          FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE,
                          FILE_OPEN, 0, NULL, 0);

    /* read file header*/
    status = ZwReadFile(handle, ioevent, NULL, NULL, &iosb, (PVOID)&fileHead,
                        sizeof(XXXX_FILE_HEADE), &offset, NULL);

    /* check whether file is interesting to us */
    if (status == STATUS_SUCCESS && iosb.Information == sizeof(……)) {
        /* it’s my taste, haha */
    }

    /* close file, not interested in it any more */

    if (handle){
        ZwClose(handle);
    }

    return status;
}

过程比较简单，XXXProcessDirents()会循环调用XXXProcessDirent()，直至列表中所有项全检查完毕。

下面再来看windbg分析吧：

1: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 0abc9867, memory referenced
Arg2: 00000002, IRQL
Arg3: 00000001, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: 806e7a2a, address which referenced memory

Debugging Details:
------------------

WRITE_ADDRESS:  0abc9867

CURRENT_IRQL:  2

FAULTING_IP:
hal!KeAcquireInStackQueuedSpinLock+3a
806e7a2a 8902            mov     dword ptr [edx],eax

DEFAULT_BUCKET_ID:  DRIVER_FAULT

BUGCHECK_STR:  0xA

PROCESS_NAME:  System

TRAP_FRAME:  b9019bbc -- (.trap 0xffffffffb9019bbc)
ErrCode = 00000002
eax=b9019c40 ebx=00000000 ecx=c0000211 edx=0abc9867 esi=c0000128 edi=8842d268
eip=806e7a2a esp=b9019c30 ebp=b9019c68 iopl=0         nv up ei ng nz na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010286
hal!KeAcquireInStackQueuedSpinLock+0x3a:
806e7a2a 8902            mov     dword ptr [edx],eax  ds:0023:0abc9867=????????
Resetting default scope

LAST_CONTROL_TRANSFER:  from 806e7a2a to 80544768

STACK_TEXT:
b9019bbc 806e7a2a badb0d00 0abc9867 804f4e77 nt!KiTrap0E+0x238
b9019c68 806e7ef2 00000000 00000000 b9019c80 hal!KeAcquireInStackQueuedSpinLock+0x3a
b9019c68 b9019d24 00000000 00000000 b9019c80 hal!HalpApcInterrupt+0xc6
WARNING: Frame IP not in any known module. Following frames may be wrong.
b9019cf0 80535873 00000000 8896fb20 00000000 0xb9019d24
b9019d10 b79d87ff ba668a30 8859b7e8 00000440 nt!ExReleaseResourceLite+0x8d
b9019d2c b79d8a5c 8a3ff2f0 00000003 ba6685f0 XXXXX!XXXProcessDirents+0xef
b9019d88 b79e163a e2f6b170 00000001 00000001 XXXXX!XXXKernelQueryDirectory+0x20c
b9019ddc 8054616e b79e1530 88a8ae00 00000000 nt!PspSystemThreadStartup+0x34
00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16

问题出在系统函数ExReleaseResourceLite()及KeAcquireInStackQueuedSpinLock()上，且程序要写的地址为0abc9867 ，明显不对，所以此处可做栈损坏推断。

第一嫌疑要考虑的是，XXXProcessDirents()中有锁保护的部分，此部分是果真是最容易造成栈损坏buffer复制操作。但经过仔细检查及测试，便排除了此部分出错的可能。

在排除第一嫌疑后，就没有明显目标了。只好再接着看windbg log：

貌似KeAcquireInStackQueuedSpinLock()要写的地址是LockHandle的LockQueue->Next，而LockHandle一般都在从当前堆栈分配的，由此可肯定之前对于栈损坏的推断。可问题是，是谁导致的栈损坏。

Stack中有hal!HalpApcInterrupt()调用记录，它是处理APC的软中断。hal!HalpApcInterrupt()会一般会调用nt!KiDeliverApc()来处理线程的APC队列。但当ExReleaseResourceLite()调用的时候，线程还处于临界区内（Critical Section），此时User mode APC及Kernel mode normal APC都会被禁止的，但Kernel mode special APC不会。

Kernel Special APC最常见的情况便是由IoCompleteRequest()添加的：在APC Level中调用IopCompleteRequest()以处理Irp的Stage 2的清理工作。

至此，问题终于有些眉目了。分析代码中唯一有可能导致APC添加的地方就在函数XXXXProcessDirent()中的ZwReadFile()调用，而且fileHead正是于堆栈中分配的。

想到此处，此bug的根据原因便付出水面：

XXXXProcessDirent()没有处理ZwReadFile()返回STATUS_PENDING的情况，此情形下，XXXXProcessDirent()退出并继续执行，而之前的ZwReadFile()的IRP完成操作也在同时进行（还没有完成），并且此完成操作所要写的fileHead地址，正是早已被回收并加以重用的当前栈。

搞清楚之后，便在调用ZwReadFile()后，特别针对STATUS_PENING的情况来调用ZwWaitForSingleObject()以确保读操作全部完成后，再进行下一步操作。

到此，问题解决！

一个蓝屏的问题，竟然如此之绕，不禁让我想起刘震云的《一句顶一万句》，只是这能顶一万句的一句到底是哪句呢？

<下一步打算写写APC相关的东西，操作系统将APC隐藏得太深，总让人捉摸不定！>

6,492 条评论

  1. Hi there! I know this is kinda off topic however I’d figured I’d ask. Would you be interested in trading links or maybe guest writing a blog post or vice-versa? My site addresses a lot of the same topics as yours and I believe we could greatly benefit from each other. If you might be interested feel free to send me an e-mail. I look forward to hearing from you! Terrific blog by the way!
    在线购买大麻用于XXX成人色情视频

  2. В ряде ситуаций лучше действовать без ожиданий «до завтра». Риск осложнений повышается, если запой длится несколько суток, если есть хронические болезни сердца и сосудов, если ранее случались судороги, эпизоды спутанности или тяжёлые психические симптомы. Также опасно, когда человек параллельно принимает седативные или снотворные препараты, особенно на фоне алкоголя: это меняет риски и требует особенно внимательного подхода.
    Узнать больше – http://vyvod-iz-zapoya-klin12.ru/vyvod-iz-zapoya-na-domu-v-klinu/

  3. Отдельно стоит выделить ситуации, когда семья сталкивается не только с алкоголем, но и с употреблением наркотиков. В таких случаях врачебная консультация особенно важна, поскольку последствия интоксикации могут отличаться, а признаки наркомании и алкоголизма иногда накладываются друг на друга. Если речь идет о смешанном употреблении, подход к помощи на дому требует особой осторожности.
    Изучить вопрос глубже – вызов нарколога на дом

  4. Помощь на дому рассматривают при состояниях, связанных с острым ухудшением самочувствия после алкоголя. Чаще всего это несколько дней запоя, тяжелое похмелье, бессонница, тревога, дрожь в руках, слабость, отсутствие аппетита, тошнота, сухость во рту и ощущение истощения. В подобных случаях врачебный осмотр нужен для оценки общего состояния и выбора безопасной тактики.
    Исследовать вопрос подробнее – нарколог на дом вывод в екатеринбурге

  6. Вывод из запоя на дому в Санкт-Петербурге с анонимным выездом врача, снятием интоксикации и поддержкой в наркологической клинике «Частный медик 24»
    Узнать больше – https://vyvod-iz-zapoya-na-domu-sankt-peterburg-12.ru/

  7. В клинике «Вектор Восстановления» логика маршрута строится по этапам. Первый этап — оценка состояния и рисков: длительность употребления, тяжесть отмены, давление, пульс, обезвоживание, хронические заболевания, прошлые осложнения, препараты, которые пациент уже принимал дома. Второй этап — стабилизация: снижение интоксикации, коррекция состояния, восстановление сна, уменьшение тревоги. Третий этап — сопровождение первых суток и переход к восстановлению: план на 24–72 часа, контроль динамики и профилактика «вечернего отката». Четвёртый этап — работа с зависимостью как с привычкой и системой поведения: триггеры, стресс, режим, поддержка семьи, навыки отказа, профилактика рецидива.
    Разобраться лучше – https://lechenie-alkogolizma-sergiev-posad12.ru/prinuditelnoe-lechenie-ot-alkogolizma-v-sergievom-posade

  8. Помощь на дому рассматривают при состояниях, которые возникают после длительного употребления алкоголя или тяжелого алкогольного эпизода. Чаще всего это запой, выраженная интоксикация, бессонница, тревога, слабость, тремор, тошнота, сухость во рту, отсутствие аппетита, нестабильное давление и сердцебиение. Врачебный осмотр требуется в тех случаях, когда больному трудно восстановиться самостоятельно, а самочувствие продолжает ухудшаться.
    Выяснить больше – нарколог на дом цена в екатеринбурге

  9. Наркологическая помощь нужна не только тогда, когда ситуация выглядит критической со стороны. Она необходима и в тех случаях, когда зависимость повторяется циклично, а семья уже понимает, что прежние способы не работают. Чем раньше человек переходит от стихийных попыток справиться самостоятельно к профессиональной тактике, тем выше шансы стоновить процесс на менее тяжелом этапе.
    Ознакомиться с деталями – клиника наркологической помощи в воронеже

  10. В Воронеже круглосуточная помощь при похмелье востребована в ситуациях, когда симптомы появляются внезапно или усиливаются в ночное время, особенно в запое или после запоя. Врач проводит консультацию, оценивает состояние пациента и принимает решение о проведении инфузионной терапии. Такой подход позволяет своевременно устранить симптомы и предотвратить их дальнейшее развитие. При необходимости можно оставить заявку, уточнить цены или получить помощь бесплатно на первичном этапе.
    Детальнее – https://kapelnicza-ot-pokhmelya-voronezh-7.ru

  11. Состав инфузий подбирается индивидуально. Важно понимать: большая «палитра» компонентов не означает лучший результат; ценность приносит точный фокус. Ниже — типовые профили, которые мы адаптируем под клинику конкретного случая.
    Подробнее тут – наркология вывод из запоя

  12. Выбор между домашней помощью и стационарным лечением часто определяется степенью физиологической зависимости, наличием сопутствующих патологий и риском развития осложнений. В условиях клиники исключаются внешние триггеры, обеспечивается полная изоляция от источников психоактивных веществ и создается контролируемая терапевтическая среда, где медицинские решения принимаются на основе объективных диагностических показателей, а не субъективных ощущений пациента. Такой подход критически важен для предотвращения тяжелых осложнений, минимизации дискомфорта абстиненции и формирования устойчивой базы для дальнейшей противорецидивной работы.
    Изучить вопрос глубже – vyvod-iz-zapoya-v-staczionare-nizhnij-novgorod-10.ru/

  14. Вывод из запоя на дому с медицинским контролем в Екатеринбурге предлагает множество преимуществ, которые делают этот метод более удобным и безопасным для многих людей. Отсутствие необходимости в госпитализации и наличие профессионального контроля являются основными положительными аспектами этой услуги.
    Подробнее можно узнать тут – вывод из запоя на дому цена екатеринбург

  15. Стационарный формат отличается возможностью наблюдать состояние в динамике, своевременно корректировать лечение и контролировать течение абстинентного синдрома. Это особенно важно в ситуациях, когда домашнего наблюдения недостаточно, а риск осложнений требует более внимательного подхода. При выборе тактики учитывают не только текущее самочувствие, но и предшествующие эпизоды запоя, наличие хронических заболеваний, выраженность нарушений сна, поведения и вегетативных симптомов. В клинике такой подход позволяет организовать комплексное наблюдение, при котором состояние оценивают последовательно, а помощь выстраивают с учетом нагрузки на основные системы здоровья.
    Исследовать вопрос подробнее – вывод из запоя в стационаре клиника

  20. Комплексная терапия — это сочетание медицинских и психологических шагов, которые решают разные задачи. Медицинская часть помогает пройти острый период и восстановить управляемость состояния. Психологическая и реабилитационная части помогают не вернуться к прежним сценариям, когда стресс, конфликт или бессонная ночь снова толкают к алкоголю.
    Ознакомиться с деталями – http://lechenie-alkogolizma-sergiev-posad12.ru/

  24. Непрерывный мониторинг витальных показателей — ключевое отличие стационарного формата, обеспечивающее безопасную детоксикацию. В палатах клиники «Элегия Мед» установлены системы отслеживания частоты пульса, сатурации, температуры и артериального давления, данные с которых автоматически передаются в электронную медицинскую карту. Медицинский персонал дежурит круглосуточно, что обеспечивает мгновенную реакцию на ухудшение состояния: коррекцию инфузионной терапии, введение симптоматических препаратов, привлечение смежных специалистов при необходимости. Такая организация процесса исключает хаотичное назначение средств, предотвращает полипрагмазию и гарантирует, что каждый этап детоксикации проходит под строгим клиническим контролем. При необходимости применяются дополнительные методы очищения крови, включая плазмаферез, который эффективно помогает вывести стойкие токсины и метаболиты, не удаляемые стандартной инфузионной терапией.
    Изучить вопрос глубже – http://vyvod-iz-zapoya-v-staczionare-sankt-peterburg-18.ru

  25. Поводом для обращения обычно становятся слабость, тремор, тревога, бессонница, учащенный пульс, нестабильное давление, тошнота и ощущение физического истощения. Эти проявления часто усиливаются после прекращения употребления алкоголя или на фоне затянувшегося запоя.
    Углубиться в тему – нарколог на дом цена в москве

  26. Вывод из запоя на дому в Екатеринбурге – это услуга, которая становится необходимой, когда состояние пациента ухудшается после длительного употребления алкоголя, и медицинская помощь требуется немедленно. На дому пациенту предоставляется квалифицированная помощь, направленная на быстрое снятие интоксикации, восстановление водно-солевого баланса и стабилизацию общего состояния.
    Получить дополнительные сведения – нарколог на дом вывод из запоя в екатеринбурге

  27. Когда зависимость начинает управлять распорядком и решениями, важно получить помощь, которая строится на медицинской оценке, а не на общих обещаниях. В условиях мегаполиса люди часто тянут до последнего: пытаются «перетерпеть», закрывают симптомы таблетками, откладывают визит из-за работы и семьи. В итоге острый период только усиливается: растут тревога и бессонница, скачет давление, появляется тремор, нарушается дыхание, усиливаются панические реакции. Наркологическая клиника нужна не для формальности, а для того, чтобы снять непосредственные риски и затем выстроить план лечения зависимости так, чтобы не возвращаться к той же точке через несколько дней или недель. В клинике «Свет Баланса» акцент делается на двух вещах: безопасность в остром состоянии и понятная дорожная карта восстановления после стабилизации.
    Выяснить больше – наркологическая клиника в москве

  28. Самостоятельный выход часто строится на ошибочных решениях: «уменьшать дозу», смешивать алкоголь со снотворными, принимать седативные без понимания влияния на дыхание и сердце, использовать сомнительные «похмельные» наборы. Такие действия могут временно приглушить симптомы, но повышают риск ухудшения и делают состояние непредсказуемым. Ещё одна проблема — отсутствие контроля: человек не замечает, как давление уходит в опасные цифры, как развивается обезвоживание или как усиливаются неврологические симптомы. В клинике же у врача есть задача не просто «снять неприятное», а стабилизировать организм, защитить сердце и сосуды, восстановить сон и снизить тревогу так, чтобы дальнейшее восстановление стало реальным.
    Получить больше информации – https://vyvod-iz-zapoya-moskva1-12.ru

  32. Капельница от похмелья с контролем врача в Самаре представляет собой эффективную терапевтическую процедуру, позволяющую значительно улучшить самочувствие пациента за короткий срок. Врач, контролируя весь процесс, может точно определить, какие компоненты необходимы для каждого пациента. Состав капельницы зависит от симптомов похмелья, состояния пациента и его индивидуальных потребностей. Это позволяет обеспечить максимально безопасное и эффективное лечение, которое помогает организму быстро восстановиться.
    Разобраться лучше – капельница от похмелья вызов на дом самара

  34. При наличии этих симптомов помощь должна быть оказана в кратчайшие сроки. Выезд нарколога позволяет не только стабилизировать состояние, но и определить дальнейшую тактику лечения.
    Подробнее тут – http://narkologicheskaya-pomoshh-nizhnij-novgorod-8.ru

  35. В данной статье рассматриваются физиологические и эмоциональные аспекты зависимости. Мы обсудим, как организм реагирует на зависимое поведение, и какие методы помогают восстановить здоровье и внутреннее равновесие.
    Более того — здесь – выход из запоя на дому самара

  36. Публикация посвящена жизненным историям людей, успешно справившихся с зависимостью. Мы покажем, что выход есть, и он начинается с первого шага — принятия проблемы и желания измениться.
    Изучить эмпирические данные – вывод из запоя с кодированием на дому

  38. В обзорной статье вы найдете собрание важных фактов и аналитики по самым разнообразным темам. Мы рассматриваем как современные исследования, так и исторические контексты, чтобы вы могли получить полное представление о предмете. Погрузитесь в мир знаний и сделайте шаг к пониманию!
    Это стоит прочитать полностью – сделать капельницу от похмелья

  39. В клинике «Вектор Восстановления» логика маршрута строится по этапам. Первый этап — оценка состояния и рисков: длительность употребления, тяжесть отмены, давление, пульс, обезвоживание, хронические заболевания, прошлые осложнения, препараты, которые пациент уже принимал дома. Второй этап — стабилизация: снижение интоксикации, коррекция состояния, восстановление сна, уменьшение тревоги. Третий этап — сопровождение первых суток и переход к восстановлению: план на 24–72 часа, контроль динамики и профилактика «вечернего отката». Четвёртый этап — работа с зависимостью как с привычкой и системой поведения: триггеры, стресс, режим, поддержка семьи, навыки отказа, профилактика рецидива.
    Разобраться лучше – lechenie-alkogolizma-sergiev-posad

  40. Помощь на дому рассматривают при состояниях, которые сопровождаются заметным ухудшением самочувствия после алкоголя. Это может быть запой на протяжении нескольких дней, тяжелое похмелье, дрожь в руках, нарушение сна, выраженная слабость, тревога, тошнота, сухость во рту, снижение аппетита и признаки обезвоживания. В таких случаях осмотр врача нужен для того, чтобы оценить тяжесть состояния и понять, безопасно ли оставаться дома.
    Подробнее тут – нарколог на дом цена москва

  42. Эта статья предлагает уникальную подборку занимательных фактов и необычных историй, которые вы, возможно, не знали. Мы постараемся вдохновить ваше воображение и разнообразить ваш кругозор, погружая вас в мир, полный интересных открытий. Читайте и открывайте для себя новое!
    Детальнее – помощь нарколога на дому в москве

  43. Этот обзор предлагает структурированное изложение информации по актуальным вопросам. Материал подан так, чтобы даже новичок мог быстро освоиться в теме и начать использовать полученные знания в практике.
    Получить дополнительные сведения – врач нарколог выезд на дом

  45. Стационар выбирают, когда нужно наблюдать состояние круглосуточно или есть вероятность резкого ухудшения. Это может быть длительный запой, выраженная абстиненция, нестабильное давление, подозрение на осложнения со стороны сердца и сосудов, история судорог, спутанность сознания, психотические симптомы. Преимущество стационара — контроль динамики и возможность быстро менять терапию, если план «не заходит». Кроме того, в стационаре проще выстроить полноценный переход к лечению зависимости: не просто снять острые проявления, а сразу подключить психологическое сопровождение и подготовить пациента к следующему этапу.
    Детальнее – chastnaya-narkologicheskaya-klinika-moskva

  46. Эта обзорная заметка содержит ключевые моменты и факты по актуальным вопросам. Она поможет читателям быстро ориентироваться в теме и узнать о самых важных аспектах сегодня. Получите краткий курс по современной информации и оставайтесь в курсе событий!
    Изучить аспект более тщательно – сколько стоит капельницы на дому

  47. Самостоятельный выход часто строится на ошибочных решениях: «уменьшать дозу», смешивать алкоголь со снотворными, принимать седативные без понимания влияния на дыхание и сердце, использовать сомнительные «похмельные» наборы. Такие действия могут временно приглушить симптомы, но повышают риск ухудшения и делают состояние непредсказуемым. Ещё одна проблема — отсутствие контроля: человек не замечает, как давление уходит в опасные цифры, как развивается обезвоживание или как усиливаются неврологические симптомы. В клинике же у врача есть задача не просто «снять неприятное», а стабилизировать организм, защитить сердце и сосуды, восстановить сон и снизить тревогу так, чтобы дальнейшее восстановление стало реальным.
    Узнать больше – vyvod-iz-zapoya-moskva-na-domu

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注