Nothing Is Secret

蓝屏，谁之过？

Bug总能在你意想不到的地方给你个措手不及，只是它所带来并不是惊喜，而是Blue Screen Of Death !

既如此，只能兵来将挡。

先介绍一下程序的大体流程：

NTSTATUS
XXXProcessDirents(…)
{    
    do {
        KeEnterCriticalRegion();
        ExAcquireResourceSharedLite(&fcb->Resource, TRUE);

        /* access several members of fcb structure */
        ExReleaseResourceLite(&fcb->Resource);
        KeLeaveCriticalRegion();

         XXXXProcessDirent(…);

    } while (list_is_not_empty(….));

    return status;
}

NTSTATUS
XXXXProcessDirent(…)
{
    HANDLE handle = NULL;
    XXXX_FILE_HEADE fileHead;
    ……

    /* open file */
    status = ZwCreateFile(&handle, GENERIC_READ, &oa, &iosb, NULL, 0,
                          FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE,
                          FILE_OPEN, 0, NULL, 0);

    /* read file header*/
    status = ZwReadFile(handle, ioevent, NULL, NULL, &iosb, (PVOID)&fileHead,
                        sizeof(XXXX_FILE_HEADE), &offset, NULL);

    /* check whether file is interesting to us */
    if (status == STATUS_SUCCESS && iosb.Information == sizeof(……)) {
        /* it’s my taste, haha */
    }

    /* close file, not interested in it any more */

    if (handle){
        ZwClose(handle);
    }

    return status;
}

过程比较简单，XXXProcessDirents()会循环调用XXXProcessDirent()，直至列表中所有项全检查完毕。

下面再来看windbg分析吧：

1: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 0abc9867, memory referenced
Arg2: 00000002, IRQL
Arg3: 00000001, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: 806e7a2a, address which referenced memory

Debugging Details:
------------------

WRITE_ADDRESS:  0abc9867

CURRENT_IRQL:  2

FAULTING_IP:
hal!KeAcquireInStackQueuedSpinLock+3a
806e7a2a 8902            mov     dword ptr [edx],eax

DEFAULT_BUCKET_ID:  DRIVER_FAULT

BUGCHECK_STR:  0xA

PROCESS_NAME:  System

TRAP_FRAME:  b9019bbc -- (.trap 0xffffffffb9019bbc)
ErrCode = 00000002
eax=b9019c40 ebx=00000000 ecx=c0000211 edx=0abc9867 esi=c0000128 edi=8842d268
eip=806e7a2a esp=b9019c30 ebp=b9019c68 iopl=0         nv up ei ng nz na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010286
hal!KeAcquireInStackQueuedSpinLock+0x3a:
806e7a2a 8902            mov     dword ptr [edx],eax  ds:0023:0abc9867=????????
Resetting default scope

LAST_CONTROL_TRANSFER:  from 806e7a2a to 80544768

STACK_TEXT:
b9019bbc 806e7a2a badb0d00 0abc9867 804f4e77 nt!KiTrap0E+0x238
b9019c68 806e7ef2 00000000 00000000 b9019c80 hal!KeAcquireInStackQueuedSpinLock+0x3a
b9019c68 b9019d24 00000000 00000000 b9019c80 hal!HalpApcInterrupt+0xc6
WARNING: Frame IP not in any known module. Following frames may be wrong.
b9019cf0 80535873 00000000 8896fb20 00000000 0xb9019d24
b9019d10 b79d87ff ba668a30 8859b7e8 00000440 nt!ExReleaseResourceLite+0x8d
b9019d2c b79d8a5c 8a3ff2f0 00000003 ba6685f0 XXXXX!XXXProcessDirents+0xef
b9019d88 b79e163a e2f6b170 00000001 00000001 XXXXX!XXXKernelQueryDirectory+0x20c
b9019ddc 8054616e b79e1530 88a8ae00 00000000 nt!PspSystemThreadStartup+0x34
00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16

问题出在系统函数ExReleaseResourceLite()及KeAcquireInStackQueuedSpinLock()上，且程序要写的地址为0abc9867 ，明显不对，所以此处可做栈损坏推断。

第一嫌疑要考虑的是，XXXProcessDirents()中有锁保护的部分，此部分是果真是最容易造成栈损坏buffer复制操作。但经过仔细检查及测试，便排除了此部分出错的可能。

在排除第一嫌疑后，就没有明显目标了。只好再接着看windbg log：

貌似KeAcquireInStackQueuedSpinLock()要写的地址是LockHandle的LockQueue->Next，而LockHandle一般都在从当前堆栈分配的，由此可肯定之前对于栈损坏的推断。可问题是，是谁导致的栈损坏。

Stack中有hal!HalpApcInterrupt()调用记录，它是处理APC的软中断。hal!HalpApcInterrupt()会一般会调用nt!KiDeliverApc()来处理线程的APC队列。但当ExReleaseResourceLite()调用的时候，线程还处于临界区内（Critical Section），此时User mode APC及Kernel mode normal APC都会被禁止的，但Kernel mode special APC不会。

Kernel Special APC最常见的情况便是由IoCompleteRequest()添加的：在APC Level中调用IopCompleteRequest()以处理Irp的Stage 2的清理工作。

至此，问题终于有些眉目了。分析代码中唯一有可能导致APC添加的地方就在函数XXXXProcessDirent()中的ZwReadFile()调用，而且fileHead正是于堆栈中分配的。

想到此处，此bug的根据原因便付出水面：

XXXXProcessDirent()没有处理ZwReadFile()返回STATUS_PENDING的情况，此情形下，XXXXProcessDirent()退出并继续执行，而之前的ZwReadFile()的IRP完成操作也在同时进行（还没有完成），并且此完成操作所要写的fileHead地址，正是早已被回收并加以重用的当前栈。

搞清楚之后，便在调用ZwReadFile()后，特别针对STATUS_PENING的情况来调用ZwWaitForSingleObject()以确保读操作全部完成后，再进行下一步操作。

到此，问题解决！

一个蓝屏的问题，竟然如此之绕，不禁让我想起刘震云的《一句顶一万句》，只是这能顶一万句的一句到底是哪句呢？

<下一步打算写写APC相关的东西，操作系统将APC隐藏得太深，总让人捉摸不定！>

17,734 条评论

  1. В этой статье мы говорим о важности поддержки в процессе выздоровления. Рассматриваются семьи, группы поддержки, специалисты и онлайн-ресурсы, которые могут сыграть решающую роль в избавлении от зависимости.
    Ссылка на источник – лечения алкоголизма в Москве

  2. В этой статье мы обсудим процесс восстановления после зависимостей, акцентируя внимание на различных методах и подходах к реабилитации. Читатели узнают, как создать план выздоровления и использовать полезные ресурсы для достижения устойчивых изменений.
    Проследить причинно-следственные связи – вывод из запоя в стационаре москва

  3. В этой публикации мы исследуем ключевые аспекты здоровья, включая влияние образа жизни на благополучие. Читатели узнают о важности правильного питания, физической активности и психического здоровья. Мы предоставим практические советы и рекомендации для поддержания здоровья и развития профилактических подходов.
    Где можно узнать подробнее? – вывод из запоя в стационаре

  4. Этот документ охватывает важные аспекты медицинской науки, сосредотачиваясь на ключевых вопросах, касающихся здоровья населения. Мы рассматриваем свежие исследования, клинические рекомендации и лучшие практики, которые помогут улучшить качество лечения и профилактики заболеваний. Читатели получат возможность углубиться в различные медицинские дисциплины.
    Детальнее – лечение алкоголизма в москве клиники

  5. Публикация охватывает основные направления развития современной медицины. Мы обсудим значимость научных исследований, инноваций в лечении и роли общественного участия в формировании системы здравоохранения.
    Только факты! – капельницы от запоя в Белгороде

  6. В первые часы абстиненции важно смотреть не только на самочувствие, но и на объективные признаки. Если больной много лет сталкивается с алкоголизмом, имеет болезни сердца, печени, почек или ранее переносил белую горячку, самостоятельный выход из запоя опасен. В Екатеринбурге в таких случаях разумно вызвать нарколога, а при угрозе жизни — скорую помощь.
    Изучить вопрос подробнее – https://vyvod-iz-zapoya-v-ekaterinburge19.ru/

  8. Вывод из запоя — это управляемая медицинская процедура, где каждая деталь важна: от скорости выезда до состава инфузии и «тихой» среды дома. В наркологической клинике «КазаньДетокс Медлайн» мы придерживаемся принципа поэтапной стабилизации: сначала безопасный старт и оценка рисков, затем прицельные капельницы и, при необходимости, краткосрочное наблюдение. Такой подход исключает «универсальные коктейли» и делает результат прогнозируемым: снижение интоксикации, выравнивание вегетативных реакций, восстановление сна и аппетита. Анонимность встроена в протоколы: немаркированный выезд, лаконичная документация, один доверенный контакт для связи 24/7, нейтральные формулировки без стигмы.
    Подробнее можно узнать тут – наркология вывод из запоя в казани

  9. После обращения врач решает, нужна ли срочная помощь или плановое лечение. Клиника может предложить стационар, амбулаторное сопровождение или консультацию. Следует выполнять назначения и не менять лекарство самостоятельно.
    Ознакомиться с деталями – наркологическая клиника лечение алкоголизма

  10. При наличии таких проявлений попытки самостоятельно проводить лечение могут увеличить риск осложнений. Не следует давать больному любые сильнодействующие таблетки без назначения врача, пытаться резко снизить давление неизвестными препаратами или сочетать лекарства со спиртным. Оптимальное решение — обратиться за профессиональной наркологической помощью и сообщить специалисту, сколько дней длится запой, какие препараты принимались и имеются ли сопутствующие заболевания.
    Изучить вопрос подробнее – http://vyvod-iz-zapoya-krasnoyarsk68.ru

  12. Срочная наркологическая помощь — это не «универсальная капельница», а управляемый клинический процесс, где каждое действие проверяется измеримыми маркерами и выполняется в правильной последовательности. В наркологической клинике «ВолгаМед Альтернатива» маршрут выстроен вокруг принципа минимально достаточных вмешательств: сначала безопасный старт и телескрининг, затем очный осмотр с выбором контура инфузии и, только после теста переносимости, — основная терапия. Такой подход уменьшает реактивность организма, снижает риск побочных ощущений и делает результат предсказуемым для пациента и близких. Команда работает круглосуточно, выезжает на немаркированном транспорте, общение ведётся через одного доверенного человека, а документы оформляются в нейтральной терминологии без стигматизирующих формулировок.
    Подробнее тут – наркологическая помощь на дому круглосуточно

  13. Каждый случай рассматривается индивидуально. Клиника не предлагает одну стандартную схему всем пациентам. Врач учитывает, какие вещества употреблялись, как долго сохраняется зависимость, имеются ли соматические заболевания и психические нарушения. Такой подход помогает определить объем помощи и построение индивидуальной программы лечения.
    Ознакомиться с деталями – наркологическая клиника клиника помощь

  15. Клиника помогает при алкоголизме, наркомании, повторных срывах и психических нарушениях. Обращаться можно при длительном употреблении алкоголя, наркотиков и других психоактивных веществ. Не следует откладывать лечение, если самочувствие быстро ухудшается. Доктор определяет необходимость стационара и объем помощи.
    Узнать больше – частная наркологическая клиника

  16. С пациентом работают профильные специалисты, которые оценивают состояние и подбирают безопасный план помощи.
    Получить больше информации – skolko-stoit-kapelnica-ot-zapoya

  17. Лечение на дому выбирают при разных проблемах, связанных с употреблением алкоголя и зависимостью. В одних случаях человеку требуется вывод из запоя, в других — консультация по лечению алкоголизма, кодирование или дальнейшая реабилитация. Наркологическая служба рассматривает ситуацию индивидуально, поскольку одинаковой схемы лечения для всех нет.
    Узнать больше – https://narcolog-na-dom-krasnoyarsk1.ru/

  18. В первые часы абстиненции важно смотреть не только на самочувствие, но и на объективные признаки. Если больной много лет сталкивается с алкоголизмом, имеет болезни сердца, печени, почек или ранее переносил белую горячку, самостоятельный выход из запоя опасен. В Екатеринбурге в таких случаях разумно вызвать нарколога, а при угрозе жизни — скорую помощь.
    Изучить вопрос подробнее – вывод из запоя с выездом

  21. На дому специалист оценивает текущее самочувствие, проверяет документы и врачебные рекомендации, выбирает безопасное место для постановки системы и контролирует введение раствора. Используем стерильные расходные материалы и проверенные препараты, разрешенные к медицинскому применению в РФ. Если нужна дополнительная диагностика, врач объясняет, какой анализ стоит сдать, когда лучше пройти прием и в каких случаях лечение безопаснее продолжить в стационаре. Услуги на дому не подменяют экстренную помощь: при угрозе жизни следует вызвать скорую.
    Получить больше информации – http://nadomu2.kapelnica-ot-zapoya-v-moskve14-1.ru/

  22. Чтобы сделать процесс понятным и управляемым, каждый шаг сопровождается измеримыми маркерами безопасности и эффективности. Корректировки — точечные, по правилу «одного изменения», что позволяет видеть вклад каждого действия и сохранять переносимость.
    Подробнее можно узнать тут – платная наркологическая скорая помощь в казани

  23. Срочный вызов оформляют, когда признаки интоксикации усиливаются, состояние больного меняется или возникают серьезные расстройства поведения. Наркологическая помощь должна быть организована своевременно. При психозе, белой горячке, судорогах, передозировке или других тяжелых случаях врач может рекомендовать экстренное стационарное лечение.
    Ознакомиться с деталями – нарколог на дом в Красноярске

  25. Полный курс лечения включает не только снятие интоксикации, но и восстановление организма, работу с психотерапевтом и поддержку родственников. Подробнее о каждой процедуре вы можете узнать у оператора по телефону — мы бесплатно проконсультируем и поможем выбрать подходящий формат. Все услуги оказываются анонимно, без постановки на учёт в государственных учреждениях. Если вам нужна платная наркологическая помощь в Москве или Московской области, свяжитесь с нами — врачи нашей клиники найдут оптимальное решение для каждого случая и проведут эффективное лечение алкоголизма.
    Ознакомиться с деталями – https://3.vyvod-iz-zapoya-balashiha13.ru/

  26. Эта статья подробно расскажет о процессе выздоровления, который включает в себя эмоциональную, физическую и психологическую реабилитацию. Мы обсуждаем значимость поддержки и наличие профессиональных программ. Читатели узнают, как строить новую жизнь и не возвращаться к старым привычкам.
    Погрузиться в научную дискуссию – наркологическаяклиникадельта в белгороде

  27. Затяжной запой способен заметно нарушить работу нервной системы, сердца, сосудов, печени и почек. Когда организм длительное время получает алкоголь, резкий отказ иногда сопровождается тяжелой абстиненцией: появляется тревожность, бессонница, тремор, тошнота, скачки давления, слабость и дезориентация. Вывод из запоя в Екатеринбурге проводится как медицинское лечение, цель которого — оценить общее самочувствие, уменьшить обезвоживание, восстановить водно-электролитный баланс и своевременно выявить признаки осложнений. Если состояние нестабильно, обращаться к специалистам нужно без промедления.
    Подробнее – вывод из запоя на дому круглосуточно Екатеринбург

  29. Этот метод направлен на выявление и замену негативных мыслей и стереотипов поведения, связанных с потреблением алкоголя. Пациент учится отслеживать свои эмоциональные реакции и заменять деструктивные установки конструктивными стратегиями противостояния стрессу.
    Разобраться лучше – http://lechenie-alkogolizma-sochi0.ru/lechenie-alkogolizma-na-domu/https://lechenie-alkogolizma-sochi0.ru

  30. Самостоятельный отказ от спиртного кажется простым решением, однако при зависимости резкая отмена способна усиливать тревогу, бессонницу, вегетативные реакции и судорожную готовность. Некоторые люди пытаются сделать домашний детокс, используют седативные препараты без назначения или снова выпивают, чтобы стало легче. Такое поведение повышает риск отравления, угнетения дыхания и опасного сочетания медикаментов с алкоголем.
    Узнать больше – vyvod-iz-dlitelnogo-zapoya

  31. Круглосуточная клиника «НаркоЦентр» предлагает широкий спектр наркологических услуг в Екатеринбурге и области. В числе основных направлений — выезд врача на дом, проведение детоксикационных процедур, индивидуальные программы восстановления, врачебное сопровождение в стационаре, а также психологическая и физиотерапевтическая реабилитация. Мы опираемся на международные стандарты терапии и применяем только сертифицированные препараты, что гарантирует безопасность и эффективность лечения.
    Узнать больше – круглосуточная наркологическая помощь в екатеринбурге

  33. Программа лечения формируется после осмотра и может включать несколько этапов. Их количество и продолжительность зависят от клинической ситуации, физической зависимости, психического состояния и результатов предыдущего лечения. Врач может изменить план, если самочувствие меняется или требуется более интенсивная терапия.
    Узнать больше – https://3narkologicheskaya-klinika-balashiha.ru/

  35. Если такие проявления уже появились, лечение на дому не всегда допустимо. Врач оценивает тяжесть и решает, требуется ли экстренное направление в стационар. Главное — не пытаться снять опасные проявления случайным уколом, алкоголем или бесконтрольным приемом снотворных. Подобные действия способны привести к ухудшению и увеличить вероятность осложнений.
    Изучить вопрос подробнее – https://vyvod-iz-zapoya-v-ekaterinburge19.ru/

  36. Лечение зависимости требует системного медицинского подхода. Одной процедуры или кратковременного улучшения самочувствия обычно недостаточно, если человек длительное время употребляет алкоголь или наркотические вещества. В клинике лечение алкоголизма и лечение наркомании строятся поэтапно: сначала врач проводит первичную диагностику, затем выполняется детоксикация, подбирается медикаментозная терапия, после стабилизации подключаются психолог, психотерапевт и реабилитационный персонал. Такой подход помогает не ограничиваться снятием физической симптоматики, а работать с причинами зависимости и привычке возвращаться к употреблению.
    Ознакомиться с деталями – narkologicheskaya-klinika-moskva

  37. Капельница помогает восполнить дефицит жидкости и электролитов, поддерживает обмен веществ и способствует выведению продуктов распада этанола. В состав по показаниям могут входить физраствор, раствор Рингера, хлорид натрия, препараты калия и магния, глюкоза, витаминные средства, седативные лекарства, гепатопротекторы, антиоксидант, ноотропы, кардиопротекторы и сосудистые препараты. Точная дозировка определяется только после диагностики. Самостоятельно ставить капельницу алкоголику опасно: неверный состав или слишком быстрое внутривенное введение способны ухудшить самочувствие при болезнях сердца, печени, почек, нарушениях ритма, аллергии или резких скачках давления.
    Ознакомиться с деталями – капельницы от запоя недорого

  38. Статья посвящена анализу текущих трендов в медицине и их влиянию на жизнь людей. Мы рассмотрим новые технологии, методы лечения и значение профилактики в обеспечении долголетия и здоровья.
    Изучить аспект более тщательно – лечение алкоголизма санкт-петербург

  39. Запой может повторяться годами, поэтому лечение запоя нередко связывают с лечением алкоголизма. Вывод уменьшает остроту текущей ситуации, а лечение алкоголизма ориентируется на дальнейшую работу с зависимостью. Нарколог объясняет, чем отличаются вывод, капельница, детоксикация, кодирование и реабилитация. В Красноярске услугу можно заказать для дома или клиники, а подробнее условия выбранной услуги уточняются при обращении.
    Дополнительная информация – вывод из запоя на дому в Красноярске

  41. В мегаполисе привычный ритм часто мешает системному лечению: плотный график, транспортные задержки, высокая социальная видимость. Чтобы терапия проходила спокойно, «НеоТрезвие СПБ» использует «немаркированную» логистику: нейтральные формулировки в документах, аккуратные визиты, разнесенные по времени консультации специалистов и персональный координатор. По желанию пациента часть этапов — образовательные сессии и посткодовое сопровождение — выполняются онлайн. Это снижает тревогу и делает маршрут лечения менее заметным для окружения.
    Детальнее – клиника кодирования от алкоголизма

  42. Если дома нет возможности обеспечить тишину (ремонт, маленькие дети, гости), можно кратко перейти в «тихий стационар» с отдельным входом; после стабилизации сопровождение возвращается на дом, и маршрут продолжается «зеркально» — с теми же целями и окнами оценки. Такой перенос сохраняет управляемость процесса и снижает тревогу семьи: никто не «начинает сначала», меняется только место, а логика остаётся прежней.
    Углубиться в тему – наркологическая клиника клиника помощь казань

  43. Помню, сосед три дня не выходил из квартиры. Запой жуткий, сам не остановится. Запой нарколог на дом — это когда врач приезжает сам. Сначала уходит интоксикация. Доктор нарколог вывод из запоя — Без лишних вопросов. Вся информация доступна здесь: вызвать вывод из запоя https://vyvod-iz-zapoya-v-moskve-ovt.ru И про срочный выезд в Москве. Иногда промедление стоит жизни.

  44. После обращения врач решает, нужна ли срочная помощь или плановое лечение. Клиника может предложить стационар, амбулаторное сопровождение или консультацию. Следует выполнять назначения и не менять лекарство самостоятельно.
    Ознакомиться с деталями – наркологические клиники алкоголизм

  48. Вызов нарколога особенно актуален, если человек употребляет спиртное несколько дней подряд, испытывает выраженное похмелье или не может самостоятельно прекратить запой. Если проблемы продолжаются несколько лет, лечение алкоголизма требует последовательного подхода. Врач на дому оценивает жалобы и решает, допустимо ли лечение дома либо требуется стационарное лечение.
    Узнать больше – нарколог на дом Красноярск

  49. Капельница вводится внутривенно, поэтому раствор и назначенные лекарства поступают непосредственно в кровоток. Скорость введения, состав, дозу и продолжительность процедуры определяет врач. Медикаментозное лечение направлено не на искусственное «мгновенное вытрезвление», а на коррекцию нарушений, связанных с интоксикацией и абстинентным синдромом. Врач контролирует реакцию организма и при необходимости изменяет схему.
    Дополнительная информация – прокапать капельницу от запоя

  50. Читатели получат представление о том, как современные технологии влияют на развитие медицины. Обсуждаются новые методы лечения, персонализированный подход и роль цифровых решений в повышении качества медицинских услуг.
    Откройте для себя больше – наркологическаяклиникадельта в белгороде

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注