Nothing Is Secret

蓝屏，谁之过？

Bug总能在你意想不到的地方给你个措手不及，只是它所带来并不是惊喜，而是Blue Screen Of Death !

既如此，只能兵来将挡。

先介绍一下程序的大体流程：

NTSTATUS
XXXProcessDirents(…)
{    
    do {
        KeEnterCriticalRegion();
        ExAcquireResourceSharedLite(&fcb->Resource, TRUE);

        /* access several members of fcb structure */
        ExReleaseResourceLite(&fcb->Resource);
        KeLeaveCriticalRegion();

         XXXXProcessDirent(…);

    } while (list_is_not_empty(….));

    return status;
}

NTSTATUS
XXXXProcessDirent(…)
{
    HANDLE handle = NULL;
    XXXX_FILE_HEADE fileHead;
    ……

    /* open file */
    status = ZwCreateFile(&handle, GENERIC_READ, &oa, &iosb, NULL, 0,
                          FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE,
                          FILE_OPEN, 0, NULL, 0);

    /* read file header*/
    status = ZwReadFile(handle, ioevent, NULL, NULL, &iosb, (PVOID)&fileHead,
                        sizeof(XXXX_FILE_HEADE), &offset, NULL);

    /* check whether file is interesting to us */
    if (status == STATUS_SUCCESS && iosb.Information == sizeof(……)) {
        /* it’s my taste, haha */
    }

    /* close file, not interested in it any more */

    if (handle){
        ZwClose(handle);
    }

    return status;
}

过程比较简单，XXXProcessDirents()会循环调用XXXProcessDirent()，直至列表中所有项全检查完毕。

下面再来看windbg分析吧：

1: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 0abc9867, memory referenced
Arg2: 00000002, IRQL
Arg3: 00000001, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: 806e7a2a, address which referenced memory

Debugging Details:
------------------

WRITE_ADDRESS:  0abc9867

CURRENT_IRQL:  2

FAULTING_IP:
hal!KeAcquireInStackQueuedSpinLock+3a
806e7a2a 8902            mov     dword ptr [edx],eax

DEFAULT_BUCKET_ID:  DRIVER_FAULT

BUGCHECK_STR:  0xA

PROCESS_NAME:  System

TRAP_FRAME:  b9019bbc -- (.trap 0xffffffffb9019bbc)
ErrCode = 00000002
eax=b9019c40 ebx=00000000 ecx=c0000211 edx=0abc9867 esi=c0000128 edi=8842d268
eip=806e7a2a esp=b9019c30 ebp=b9019c68 iopl=0         nv up ei ng nz na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010286
hal!KeAcquireInStackQueuedSpinLock+0x3a:
806e7a2a 8902            mov     dword ptr [edx],eax  ds:0023:0abc9867=????????
Resetting default scope

LAST_CONTROL_TRANSFER:  from 806e7a2a to 80544768

STACK_TEXT:
b9019bbc 806e7a2a badb0d00 0abc9867 804f4e77 nt!KiTrap0E+0x238
b9019c68 806e7ef2 00000000 00000000 b9019c80 hal!KeAcquireInStackQueuedSpinLock+0x3a
b9019c68 b9019d24 00000000 00000000 b9019c80 hal!HalpApcInterrupt+0xc6
WARNING: Frame IP not in any known module. Following frames may be wrong.
b9019cf0 80535873 00000000 8896fb20 00000000 0xb9019d24
b9019d10 b79d87ff ba668a30 8859b7e8 00000440 nt!ExReleaseResourceLite+0x8d
b9019d2c b79d8a5c 8a3ff2f0 00000003 ba6685f0 XXXXX!XXXProcessDirents+0xef
b9019d88 b79e163a e2f6b170 00000001 00000001 XXXXX!XXXKernelQueryDirectory+0x20c
b9019ddc 8054616e b79e1530 88a8ae00 00000000 nt!PspSystemThreadStartup+0x34
00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16

问题出在系统函数ExReleaseResourceLite()及KeAcquireInStackQueuedSpinLock()上，且程序要写的地址为0abc9867 ，明显不对，所以此处可做栈损坏推断。

第一嫌疑要考虑的是，XXXProcessDirents()中有锁保护的部分，此部分是果真是最容易造成栈损坏buffer复制操作。但经过仔细检查及测试，便排除了此部分出错的可能。

在排除第一嫌疑后，就没有明显目标了。只好再接着看windbg log：

貌似KeAcquireInStackQueuedSpinLock()要写的地址是LockHandle的LockQueue->Next，而LockHandle一般都在从当前堆栈分配的，由此可肯定之前对于栈损坏的推断。可问题是，是谁导致的栈损坏。

Stack中有hal!HalpApcInterrupt()调用记录，它是处理APC的软中断。hal!HalpApcInterrupt()会一般会调用nt!KiDeliverApc()来处理线程的APC队列。但当ExReleaseResourceLite()调用的时候，线程还处于临界区内（Critical Section），此时User mode APC及Kernel mode normal APC都会被禁止的，但Kernel mode special APC不会。

Kernel Special APC最常见的情况便是由IoCompleteRequest()添加的：在APC Level中调用IopCompleteRequest()以处理Irp的Stage 2的清理工作。

至此，问题终于有些眉目了。分析代码中唯一有可能导致APC添加的地方就在函数XXXXProcessDirent()中的ZwReadFile()调用，而且fileHead正是于堆栈中分配的。

想到此处，此bug的根据原因便付出水面：

XXXXProcessDirent()没有处理ZwReadFile()返回STATUS_PENDING的情况，此情形下，XXXXProcessDirent()退出并继续执行，而之前的ZwReadFile()的IRP完成操作也在同时进行（还没有完成），并且此完成操作所要写的fileHead地址，正是早已被回收并加以重用的当前栈。

搞清楚之后，便在调用ZwReadFile()后，特别针对STATUS_PENING的情况来调用ZwWaitForSingleObject()以确保读操作全部完成后，再进行下一步操作。

到此，问题解决！

一个蓝屏的问题，竟然如此之绕，不禁让我想起刘震云的《一句顶一万句》，只是这能顶一万句的一句到底是哪句呢？

<下一步打算写写APC相关的东西，操作系统将APC隐藏得太深，总让人捉摸不定！>

6,364 条评论

  6. Вывод из запоя на дому — это формат наркологической помощи, при котором лечение проводится в привычной для пациента обстановке с выездом врача. Такой подход применяется в ситуациях, когда состояние требует медицинского вмешательства, но не предполагает обязательной госпитализации. В наркологической клинике «Частный медик 24» помощь на дому выстраивается по принципу поэтапной стабилизации: сначала устраняются острые проявления, затем оценивается динамика и при необходимости корректируется терапия.
    Подробнее тут – http://vyvod-iz-zapoya-na-domu-sankt-peterburg-8.ru/

  7. Наркологическая клиника в Тольятти рассматривается как профильное медицинское звено, ориентированное на лечение алкогольной и наркотической зависимости с учётом клинических особенностей пациента. В клинике «Гармония Волги» медицинская помощь выстраивается на основе диагностики, поэтапной терапии и врачебного наблюдения, что позволяет контролировать состояние пациента на всех этапах лечения.
    Получить дополнительные сведения – http://narkologicheskaya-klinika-v-tolyatti0.ru/tolyatti-narkologicheskij-dispanser/https://narkologicheskaya-klinika-v-tolyatti0.ru

  8. Помощь на дому рассматривают при состояниях, связанных с острым ухудшением самочувствия после алкоголя. Чаще всего это несколько дней запоя, тяжелое похмелье, бессонница, тревога, дрожь в руках, слабость, отсутствие аппетита, тошнота, сухость во рту и ощущение истощения. В подобных случаях врачебный осмотр нужен для оценки общего состояния и выбора безопасной тактики.
    Углубиться в тему – вызов нарколога на дом в екатеринбурге

  9. Вывод из запоя на дому в Екатеринбурге: эффективное лечение, детоксикация и восстановление организма в наркологической клинике «Детокс»
    Подробнее можно узнать тут – http://vyvod-iz-zapoya-na-domu-ekaterinburg-18.ru

  11. Непрерывное наблюдение — ключевое отличие стационарного формата. В палатах клиники «Стармед» установлены системы мониторинга витальных показателей, позволяющие фиксировать изменения артериального давления, частоты пульса, температуры и дыхания в реальном времени. Медицинский персонал дежурит круглосуточно, что обеспечивает мгновенную реакцию на ухудшение состояния: коррекцию инфузионной терапии, введение симптоматических препаратов, привлечение профильного психиатра при необходимости. Кроме того, стационар создает терапевтическую среду, свободную от бытовых конфликтов, финансовых стрессов и социального давления, которые часто провоцируют срыв в первые дни трезвости. Пациент получает режим, адаптированный под этап восстановления: дозированную физическую активность, сбалансированное диетическое питание, физиотерапевтические процедуры и регулярные консультации с психотерапевтом. Такой комплексный подход минимизирует дискомфорт и формирует базу для последующей психологической работы.
    Подробнее можно узнать тут – вывод из запоя в стационаре анонимно нижний новгород

  12. Процедура капельницы от похмелья с контролем врача в Самаре начинается с первичной консультации, на которой врач осматривает пациента, измеряет его основные показатели (давление, пульс, температуру) и оценивает общее состояние. На основе этих данных выбирается оптимальный состав капельницы, которая может включать в себя различные компоненты, такие как солевые растворы, витамины, антиоксиданты и медикаменты для снятия симптомов похмелья.
    Разобраться лучше – http://kapelnicza-ot-pokhmelya-samara-13.ru

  14. Отдельного внимания требуют случаи, когда больной почти не ест, плохо пьет воду, не может спокойно лежать, жалуется на сильное сердцебиение, нехватку сна или выраженное внутреннее напряжение. В такой ситуации осмотр помогает определить, безопасно ли оставаться дома и какого объема помощи достаточно на текущем этапе. Если речь идет о выраженных проявлениях абстинентного синдрома, затягивать с обращением нецелесообразно.
    Подробнее тут – вызвать нарколога на дом екатеринбург

  15. Домашний формат лечения требует строгого соблюдения медицинских протоколов, так как врач работает вне стационара и должен учитывать ограничения условий. Поэтому ключевое значение имеет предварительная оценка состояния пациента и корректный выбор тактики вмешательства.
    Подробнее можно узнать тут – https://narkolog-na-dom-khabarovsk0.ru/narkolog-khabarovsk-anonimno/

  16. Медицинская команда контролирует каждый этап лечения, отслеживая динамику и корректируя терапию при необходимости. Благодаря такому подходу удаётся добиться не временного улучшения, а устойчивого восстановления.
    Получить больше информации – https://narcologicheskaya-klinika-v-rostove19.ru/narkolog-rostov-na-donu/

  17. В клинике применяются современные медицинские технологии, направленные на восстановление организма и стабилизацию психоэмоционального состояния. Ниже представлена таблица с описанием основных методов и их терапевтического значения.
    Изучить вопрос глубже – https://narkologicheskaya-klinika-tolyatti0.ru

  18. Алкогольная интоксикация сопровождается накоплением токсинов, нарушением водно-солевого баланса и изменениями в работе нервной системы, что характерно для алкоголизма и состояний после запоя. Это проявляется головной болью, слабостью, тошнотой, сухостью во рту и нарушением сна. Капельница позволяет ускорить процессы очищения организма и стабилизировать состояние пациента под контролем врача, помогая человеку быстрее выйти из состояния запоев.
    Выяснить больше – kapelnicza-ot-pokhmelya-voronezh-7.ru/

  19. В Тольятти клиника «АвтоГрад МедСтаб» предлагает круглосуточный вывод из запоя для пациентов любой степени тяжести состояния. Лечение проводится как в стационаре, так и с выездом нарколога на дом. При поступлении пациента специалисты оценивают жизненные показатели, уровень интоксикации, наличие сопутствующих заболеваний и составляют персональную схему терапии. Основная цель — стабилизация состояния, устранение последствий алкогольной интоксикации и предотвращение осложнений со стороны сердца, печени и мозга.
    Подробнее можно узнать тут – вывод из запоя цена тольятти

  20. Медицинская помощь начинается с детального осмотра и сбора анамнестических данных. Врач оценивает длительность запоя, объем употребляемого алкоголя, наличие хронических заболеваний и ранее перенесенных осложнений. Эти сведения необходимы для выбора корректной тактики лечения и исключения потенциальных рисков.
    Изучить вопрос глубже – https://vyvod-iz-zapoya-khabarovsk0.ru/vyvod-iz-zapoya-na-domu-khabarovsk

  21. Домашний выезд обычно выбирают тогда, когда человеку трудно добраться до медицинского учреждения, он ослаблен после нескольких дней употребления спиртного или родственникам важно быстро получить врачебную оценку состояния. После осмотра определяют, допустим ли домашний формат, нужна ли капельница, достаточно ли наблюдения на дому или следует рассматривать другой объем помощи. Уже на этапе первичного обращения нередко уточняют, как вызвать врача, какие наркологическая услуги доступны на дому, возможен ли срочный выезд круглосуточно и в каких случаях вывод из запоя безопаснее проводить не дома, а в стационаре.
    Подробнее можно узнать тут – запой нарколог на дом

  22. Этот процесс не занимает много времени — обычно процедура длится от 30 до 60 минут. Важно, что врач контролирует все этапы, обеспечивая безопасность пациента и корректируя терапию по мере необходимости. Такой подход позволяет быстро и эффективно облегчить симптомы похмелья и вернуться к нормальной жизнедеятельности.
    Исследовать вопрос подробнее – https://kapelnicza-ot-pokhmelya-samara-13.ru/

  24. Вывод из запоя на дому с детоксикацией в Екатеринбурге представляет собой сложную медицинскую процедуру, направленную на очищение организма от токсинов и восстановление нормального состояния пациента. Важной частью этого процесса является контроль врача, который следит за состоянием пациента, регулирует дозировку препаратов и корректирует лечение по мере необходимости. Процедура обычно включает в себя использование инфузионных растворов, витаминов и медикаментов, направленных на стабилизацию физического состояния пациента и облегчение симптомов абстиненции.
    Получить больше информации – анонимный вывод из запоя на дому екатеринбург

  26. Вывод из запоя на дому с медицинским контролем в Екатеринбурге предлагает множество преимуществ, которые делают этот метод более удобным и безопасным для многих людей. Отсутствие необходимости в госпитализации и наличие профессионального контроля являются основными положительными аспектами этой услуги.
    Подробнее – вывод из запоя на дому круглосуточно

  27. Наиболее частыми причинами обращения становятся запой, тяжелый похмельный синдром, тремор, выраженная слабость, тревога, бессонница, нестабильное давление, учащенный пульс, тошнота и признаки обезвоживания. Эти проявления могут сочетаться между собой и усиливаться после прекращения употребления алкоголя, особенно если эпизод длился несколько дней.
    Углубиться в тему – http://www.domen.ru

  31. В клинике «Ресурс Трезвости» помощь строится по принципу маршрута. Сначала решают острые вопросы — интоксикация, абстиненция, нарушения сна, нестабильность давления и пульса, выраженная тревога. Затем — формируют план на 24–72 часа, потому что именно в первые дни чаще всего происходят повторные срывы: вечером усиливается тревога, ночь проходит без сна, и человек возвращается к алкоголю или веществам «чтобы отпустило». После стабилизации клиника помогает перейти к следующему этапу — лечению зависимости и профилактике рецидива, чтобы результат не ограничивался кратким облегчением.
    Подробнее тут – http://www.domen.ru

  32. Отдельно выделяют ситуации, когда родственники вызывают врача не только из-за текущего состояния, но и потому, что подобные эпизоды повторяются. Если накапливаются последствия алкоголизма, нарушается сон, меняется поведение, появляются устойчивые проблемы дома и в повседневной жизни, разовая помощь обычно рассматривается как первый этап последующей тактики. При тяжелом состоянии, признаках отравлении алкоголем или сочетании нескольких рисков сразу может понадобиться более интенсивное наблюдение в стационаре.
    Получить больше информации – http://narkolog-na-dom-ekaterinburg-3.ru

  33. Алкогольная интоксикация оказывает серьёзное влияние на организм, вызывая головную боль, тошноту, слабость и головокружение. Капельница помогает организму быстро избавиться от продуктов распада алкоголя, восстановить нормальное функционирование органов и минимизировать последствия для здоровья. Важно, что мы обеспечиваем полное наблюдение врача на протяжении всей процедуры, что помогает гарантировать безопасность пациента и максимальную эффективность лечения.
    Узнать больше – https://kapelnicza-ot-pokhmelya-ekaterinburg-8.ru

  34. Помощь на дому рассматривают при состояниях, которые сопровождаются заметным ухудшением самочувствия после алкоголя. Обычно это запой на протяжении нескольких дней, тяжелое похмелье, выраженная слабость, бессонница, тревога, дрожь в руках, сухость во рту, отсутствие аппетита, тошнота, раздражительность и ощущение истощения. В подобных случаях врачебный осмотр нужен для того, чтобы оценить тяжесть состояния и определить, безопасен ли домашний формат в конкретной ситуации.
    Ознакомиться с деталями – https://narkolog-na-dom-moskva-18.ru

  38. Лечение в круглосуточном режиме выстраивается по принципу медицинской последовательности и непрерывного наблюдения. Даже при экстренном обращении терапия не ограничивается разовым вмешательством, а рассматривается как часть целостного лечебного процесса.
    Изучить вопрос глубже – наркологические клиники алкоголизм

  39. Реабилитация алкоголиков — это важный этап на пути к избавлению от зависимости. В Москве существует множество центров, предлагающих реабилитацию с индивидуальной программой, что помогает обеспечить более персонализированный и эффективный подход к каждому пациенту. Индивидуальная программа учитывает физическое и психологическое состояние человека, а также его социальное окружение и личные особенности. Это позволяет добиться лучших результатов в лечении и восстановлении.
    Получить дополнительные сведения – реабилитация алкоголиков стоимость москва

  40. Отдельно выделяют ситуации, когда родственники вызывают врача не только из-за текущего состояния, но и потому, что подобные эпизоды повторяются. Если накапливаются последствия алкоголизма, нарушается сон, меняется поведение, появляются устойчивые проблемы дома и в повседневной жизни, разовая помощь обычно рассматривается как первый этап последующей тактики. При тяжелом состоянии, признаках отравлении алкоголем или сочетании нескольких рисков сразу может понадобиться более интенсивное наблюдение в стационаре.
    Подробнее – http://www.domen.ru

  41. Как поясняет нарколог Дмитрий Кузнецов: “Реабилитация алкоголиков должна быть многогранной. Только при сочетании медицинских и психологических методов, а также поддержке со стороны специалистов на всех этапах лечения, можно добиться устойчивого результата. Психологическая работа с пациентом помогает ему не только преодолеть зависимость, но и восстановить нормальное функционирование в обществе.” Также стоит отметить, что в некоторых случаях помощь может быть предоставлена бесплатно, и пациент может получить доступ к данным о возможных вариантах бесплатной реабилитации, что значительно облегчает процесс выздоровления.
    Разобраться лучше – http://www.domen.ru

  43. Состояние пациента при интоксикации может развиваться по-разному: от умеренной слабости и головной боли до выраженной дезориентации, тахикардии и нарушений сна. В таких ситуациях важно не откладывать обращение за помощью. Наркологическая помощь на дому рассматривается, когда требуется быстрое вмешательство и контроль состояния без транспортировки пациента.
    Разобраться лучше – наркологическая помощь на дому

  44. В этой статье мы рассматриваем разрушительное влияние зависимости на жизнь человека. Обсуждаются аспекты, такие как здоровье, отношения и профессиональные достижения. Читатели узнают о необходимости обращения за помощью и о путях к восстановлению.
    Ссылка на источник – наркологическая клиника клиника помощь

  45. Домашний вызов нарколога удобен в случаях, когда человеку тяжело ехать в клинику, он отказывается от поездки или родственники хотят как можно быстрее заказать медицинскую помощь на месте. Формат выезда позволяет врачу оценить самочувствие, определить тяжесть состояния и подобрать дальнейшую тактику. Если ситуация требует расширенного подхода, может обсуждаться последующая консультация в центре, лечение алкоголизма, кодирование, а в более сложных случаях — длительная реабилитация.
    Изучить вопрос глубже – нарколог на дом цена

  46. Многие откладывают лечение годами, потому что периодами удаётся «держаться». Но зависимость редко исчезает сама. Обычно она меняет форму: запои становятся длиннее, алкоголь начинает использоваться как «лекарство» от тревоги и бессонницы, утренние дозы превращаются в способ «прийти в себя», а трезвость воспринимается как постоянное напряжение.
    Узнать больше – лечение алкоголизма дому

  47. Выбор между домашней помощью и стационарным лечением определяется не удобством, а медицинской целесообразностью. В условиях клиники исключаются внешние триггеры, обеспечивается изоляция от источников алкоголя и создается контролируемая среда, где терапевтические решения принимаются на основе объективных показателей, а не субъективных ощущений пациента. Такой подход критически важен для предотвращения осложнений, минимизации дискомфорта абстиненции и формирования устойчивой базы для дальнейшей противорецидивной работы.
    Подробнее тут – наркология вывод из запоя в стационаре санкт-петербург

  48. Нарколог на дом в Москве: срочный выезд врача, капельницы и помощь при запое в наркологической клинике «Клиника доктора Калюжной».
    Подробнее – http://www.domen.ru

  49. В этой статье рассматриваются актуальные вопросы, связанные с развитием медицинской науки и её внедрением в повседневную практику. Особое внимание уделено вопросам профилактики, ранней диагностики и использованию технологий для улучшения здоровья человека.
    Кликни и узнай всё! – лечение наркомании в нижнем новгороде

  50. Наиболее частыми причинами обращения становятся запой, выраженная слабость, тремор, тревога, бессонница, тошнота, нестабильное давление, учащенный пульс и ощущение физического истощения. Эти проявления могут сочетаться между собой и усиливаться после прекращения употребления алкоголя, особенно если эпизод длился несколько дней подряд.
    Узнать больше – вызов нарколога на дом москва

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注