聊一聊 操作系统蓝屏 c0000102 的故障分析
一：背景1. 讲故事
今年以来不知道为啥总有些朋友加我微信，让我帮忙分析下操作系统蓝屏问题，我也觉得挺好奇的，就问了其中一位朋友，说是B站来的，我就在拼命回忆，为啥会找我分析蓝屏？突然想到了去年好像录了一集关于 CrowdStrike 的热点事件。。。我本来是做.NET程序的故障分析，这操作系统的蓝屏虽然不是我擅长的，但也能硬着头皮上吧。
这位朋友找到我的时候，说它已经重装过操作系统，但还是会偶发性蓝屏，让我看下到底是啥原因导致的，那就上 windbg 分析吧。
二：为什么会蓝屏
1. 到底崩溃在哪里
要想找到崩溃点，其实 windbg 提供了一个牛叉的自动化分析命令!analyze -v，它可以帮我们挖出崩溃上下文，输出如下：
14: kd> !analyze -v******************************************************************************** ** Bugcheck Analysis ** ********************************************************************************Unknown bugcheck code (c0000102)Unknown bugcheck descriptionArguments:Arg1: ffffab027a2c6030Arg2: ffffab02785d06a0Arg3: 0000000000000000Arg4: 0000000000000000PROCESS_NAME:csrss.exeSTACK_TEXT:ffff930a`26342578 fffff800`ef921e61 : 00000000`0000004c 00000000`c0000102 ffff930a`2733f390 ffff9703`d52fc310 : nt!KeBugCheckExffff930a`26342580 fffff800`ef93266d : ffffffff`ffffffff ffff930a`26342699 ffffffff`80000a04 00000000`00000000 : nt!PopGracefulShutdown+0x2d9ffff930a`263425e0 fffff800`ef9101e0 : 00000000`00000001 fffff800`00000000 00000000`00000000 00000000`00000000 : nt!PopTransitionSystemPowerStateEx+0x895ffff930a`26342700 fffff800`ef8632bd : 00000000`00000047 00000000`ffffff00 00000000`00000001 00000000`00000000 : nt!PopTransitionSystemPowerState+0x4cffff930a`263428b0 fffff800`ef862e80 : 00000000`00000000 ffff9703`00000005 00000000`00000001 00000000`c0000004 : nt!PopIssueActionRequest+0x2a9ffff930a`26342950 fffff800`ef255d3e : 00000000`00000001 00000000`00000000 00000000`fffffffb ffff9703`c5620aa0 : nt!PopPolicyWorkerAction+0x80ffff930a`263429d0 fffff800`ef1704a2 : ffff9703`00000000 ffff9703`c57d4040 ffff930a`26342b00 ffff9703`c5620aa0 : nt!PopPolicyWorkerThread+0x7effff930a`26342a00 fffff800`ef25585a : ffff9703`c57d4040 ffff9703`c57d4040 fffff800`ef1702f0 ffff9703`c5620aa0 : nt!ExpWorkerThread+0x1b2ffff930a`26342bb0 fffff800`ef47ae54 : ffffd901`dbd90180 ffff9703`c57d4040 fffff800`ef255800 00000000`00000000 : nt!PspSystemThreadStartup+0x5affff930a`26342c00 00000000`00000000 : ffff930a`26343000 ffff930a`2633c000 00000000`00000000 00000000`00000000 : nt!KiStartSystemThread+0x34SYMBOL_NAME:nt!PopTransitionSystemPowerStateEx+895MODULE_NAME: ntIMAGE_NAME:ntkrnlmp.exeIMAGE_VERSION:10.0.26100.2605...从卦中可以看到两点信息：
[*]bugcode=c0000102
微软定义的蓝屏数字都比较小，所以看到这个码也挺奇怪的，从微软的msdn一查原来是NTSTATUS值，它表示 STATUS_FILE_CORRUPT_ERROR 即文件损坏。参见：https://learn.microsoft.com/zh-cn/troubleshoot/azure/virtual-machines/windows/error-code-0xc0000102-status-file-corrupt
[*]PopGracefulShutdown
从函数的前缀 Pop 可以看出，它是属于内核 电源管理执行体，翻译过来应该叫 Power on Plug，正在做系统的关机操作，当然这里的关机有可能是朋友做了 Close 或者 Restart 操作。
为了能够知己知彼，得需要观察下 PopGracefulShutdown 方法都在干嘛？
2. PopGracefulShutdown 在干嘛
要想找到这个答案，可以在 Reactos 中寻找答案，参考代码如下：
VOIDNTAPIPopGracefulShutdown(IN PVOID Context){ PEPROCESS Process = NULL; /* Process the registered waits and work items */ PopProcessShutDownLists(); /* Loop every process */ Process = PsGetNextProcess(Process); while (Process) { /* Make sure this isn't the idle or initial process */ if ((Process != PsInitialSystemProcess) && (Process != PsIdleProcess)) { /* Print it */ DPRINT1("%15s is still RUNNING (%p)\n", Process->ImageFileName, Process->UniqueProcessId); } /* Get the next process */ Process = PsGetNextProcess(Process); } /* First, the HAL handles any "end of boot" special functionality */ DPRINT("HAL shutting down\n"); HalEndOfBoot(); /* Shut down the Shim cache if enabled */ ApphelpCacheShutdown(); /* In this step, the I/O manager does first-chance shutdown notification */ DPRINT("I/O manager shutting down in phase 0\n"); IoShutdownSystem(0); /* In this step, all workers are killed and hives are flushed */ DPRINT("Configuration Manager shutting down\n"); CmShutdownSystem(); /* Shut down the Executive */ DPRINT("Executive shutting down\n"); ExShutdownSystem(); /* Note that modified pages should be written here (MiShutdownSystem) */ MmShutdownSystem(0); /* Flush all user files before we start shutting down IO */ /* This is where modified pages are written back by the IO manager */ CcShutdownSystem(); /* In this step, the I/O manager does last-chance shutdown notification */ DPRINT("I/O manager shutting down in phase 1\n"); IoShutdownSystem(1); CcWaitForCurrentLazyWriterActivity(); /* FIXME: Calling Mm shutdown phase 1 here to get page file dereference * but it shouldn't be called here. Only phase 2 should be called. */ MmShutdownSystem(1); /* Note that here, we should broadcast the power IRP to devices */ /* In this step, the HAL disables any wake timers */ DPRINT("Disabling wake timers\n"); HalSetWakeEnable(FALSE); /* And finally the power request is sent */ DPRINT("Taking the system down\n"); PopShutdownSystem(PopAction.Action);}从卦中的源代码看，这个关机操作主要是用来关闭各种执行体，那到底是哪一句导致的 KeBugCheckEx 呢？这就需要从汇编上寻找答案，使用 ub 命令即可。
14: kd> ub fffff800`ef921e61nt!PopGracefulShutdown+0x2b5:fffff800`ef921e3d 488b0dbc843e00mov rcx,qword ptr fffff800`ef921e44 488b4140 mov rax,qword ptr fffff800`ef921e48 4c8b4938 mov r9,qword ptr fffff800`ef921e4c 4c8b4130 mov r8,qword ptr fffff800`ef921e50 488b5128 mov rdx,qword ptr fffff800`ef921e54 8b4920 mov ecx,dword ptr fffff800`ef921e57 4889442420 mov qword ptr ,raxfffff800`ef921e5c e86f6799ff call nt!KeBugCheckEx (fffff800`ef2b85d0)从汇编中可以看到 KeBugCheckEx 中的各种值是来自于 PopAction 结构体，这个结构体是关机操作的一个上下文类 _POP_POWER_ACTION，接下来根据汇编代码用 dt 给导出来，参考如下：
14: kd> dt nt!_POP_POWER_ACTION fffff800`efd0a300-0x40 +0x000 Updates : 0 '' +0x001 State : 0x3 '' +0x002 Shutdown : 0x1 '' +0x004 Action : 5 ( PowerActionShutdownReset ) +0x008 LightestState : 6 ( PowerSystemShutdown ) +0x00c Flags : 0xc0000004 +0x010 Status : 0n0 +0x014 DeviceType : 4 ( PolicyInitiatePowerActionAPI ) +0x018 DeviceTypeFlags: 0 +0x020 RequestorInformation : 0xffffab02`785e2b50 _DIAGNOSTIC_BUFFER +0x028 IrpMinor : 0x2 '' +0x029 Waking : 0 '' +0x02c SystemState : 6 ( PowerSystemShutdown ) +0x030 NextSystemState: 1 ( PowerSystemWorking ) +0x034 EffectiveSystemState : 6 ( PowerSystemShutdown ) +0x038 CurrentSystemState : 1 ( PowerSystemWorking ) +0x040 ShutdownBugCode: 0xffff930a`2733f250 _POP_SHUTDOWN_BUG_CHECK +0x048 DevState : 0xffff9703`d2bf71d0 _POP_DEVICE_SYS_STATE +0x050 HiberContext : (null) +0x058 WakeTime : 0 +0x060 SleepTime : 0 +0x068 WakeFirstUnattendedTime : 0 +0x070 WakeAlarmSignaled : 0 ( PoAc ) +0x078 WakeAlarm : <unnamed-tag> +0x0c0 WakeAlarmPaused: 0 '' +0x0c8 WakeAlarmLastTime : 0 +0x0d0 DozeDeferralStartTime : 0 +0x0d8 FilteredCapabilities : SYSTEM_POWER_CAPABILITIES +0x128 WatchdogLock : 0 +0x130 WatchdogDpc : _KDPC +0x170 WatchdogTimer : _KTIMER +0x1b0 WatchdogInitialized : 0x1 '' +0x1b4 WatchdogState : 0 ( PopPowerActionWatchdogStateDisabled ) +0x1b8 WatchdogStartTime : 0 +0x1c0 WatchdogTimeout: 0 +0x1c8 ActionWorkerThread : 0xffff9703`c57d4040 _KTHREAD +0x1d0 PromoteActionWorkerThread : (null) +0x1d8 UnlockAfterSleepWorkerThread : (null) 14: kd> dx -id 0,0,ffff9703d27541c0 -r1 ((ntkrnlmp!_POP_SHUTDOWN_BUG_CHECK *)0xffff930a2733f250)((ntkrnlmp!_POP_SHUTDOWN_BUG_CHECK *)0xffff930a2733f250) : 0xffff930a2733f250 [+0x000] InitiatingThread : 0xffff9703d274f140 [+0x008] InitiatingProcess : 0xffff9703d27541c0 [+0x010] ThreadId : 0x4dc [+0x018] ProcessId : 0x4d8 [+0x020] Code : 0x4c [+0x028] Parameter1 : 0xc0000102 [+0x030] Parameter2 : 0xffff930a2733f390 [+0x038] Parameter3 : 0xffff9703d52fc310 [+0x040] Parameter4 : 0xffff9703d53bdcc0 从卦中可以看到如下信息：
[*]Action=5
原来这是一个 PowerActionShutdownReset 操作，即 重启 操作。
[*]Code=0x4c
从 _POP_SHUTDOWN_BUG_CHECK 结构体中可以看到，真正的 BugCheck=0x4c，而导致 0x4c 的真正原因是 0xc0000102，这个在 !anlayze -v 中没有体现出来。
顺带提醒一下，也可以用 kb 2 的 Args to Child 区域直接观察父子异常码。
14: kd> kb 2 # RetAddr : Args to Child : Call Site00 fffff800`ef921e61 : 00000000`0000004c 00000000`c0000102 ffff930a`2733f390 ffff9703`d52fc310 : nt!KeBugCheckEx01 fffff800`ef93266d : ffffffff`ffffffff ffff930a`26342699 ffffffff`80000a04 00000000`00000000 : nt!PopGracefulShutdown+0x2d93. 到底是什么文件损坏了
在 reactos 中没有找到对 _POP_SHUTDOWN_BUG_CHECK 结构的相关赋值逻辑，所以此时只能在几个 Parameter 参数上下手，可以 du 观察这几个参数。
14: kd> db 0xffff930a2733f390ffff930a`2733f39030 60 2c 7a 02 ab ff ff-a0 06 5d 78 02 ab ff ff0`,z......]x....ffff930a`2733f3a000 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00................ffff930a`2733f3b000 00 00 00 00 00 00 00-20 25 73 20 25 73 0a 00........ %s %s..ffff930a`2733f3c000 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00................ffff930a`2733f3d000 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00................ffff930a`2733f3e054 68 65 20 66 69 6c 65-20 6f 72 20 64 69 72 65The file or direffff930a`2733f3f063 74 6f 72 79 20 73 78-73 73 72 76 20 69 73 20ctory sxssrv is ffff930a`2733f40063 6f 72 72 75 70 74 20-61 6e 64 20 75 6e 72 65corrupt and unre14: kd> db 0xffff9703d52fc310ffff9703`d52fc3100a 53 54 4f 50 3a 20 63-30 30 30 30 31 30 32 20.STOP: c0000102 ffff9703`d52fc3207b 43 6f 72 72 75 70 74-20 46 69 6c 65 7d 0a 00{Corrupt File}..ffff9703`d52fc330a6 01 03 02 44 50 44 69-71 d0 64 bc 00 00 00 00....DPDiq.d.....ffff9703`d52fc3405c 00 44 00 72 00 69 00-76 00 65 00 72 00 5c 00\.D.r.i.v.e.r.\.ffff9703`d52fc35041 00 6d 00 64 00 50 00-50 00 4d 00 00 00 00 00A.m.d.P.P.M.....ffff9703`d52fc360b7 01 03 02 44 50 44 69-3d d5 a1 9c 00 00 00 00....DPDi=.......ffff9703`d52fc3705c 00 44 00 72 00 69 00-76 00 65 00 72 00 5c 00\.D.r.i.v.e.r.\.ffff9703`d52fc38061 00 6d 00 64 00 69 00-32 00 63 00 00 00 00 00a.m.d.i.2.c.....14: kd> da /c100 0xffff9703d53bdcc0ffff9703`d53bdcc0"The file or directory sxssrv is corrupt and unreadable...Please run the Chkdsk utility..."从 Parameter4 上可以看到原来是 sxssrv.dll 损坏了，通过网络查了下是个 windows子系统文件，所以这个是罪魁祸首，截图如下：
到这里我们大概就捋出来了，原来是客户在电脑重启的过程中，操作系统发现 sxssrv.dll 文件有损，而它又是操作系统非常重要的一个系统文件，所以就蓝屏了。
4. 如何解决
[*]使用 sfc /scannow 修复受保护的系统文件，并自动修复。
[*]使用 DISM /Online /Cleanup-Image /RestoreHealth 修复系统镜像。
如果上面都搞不定，并且重装系统也不行，那大概率就是内存或者硬盘的问题了。
[*]使用 diskgenius 工具的 坏道检测和修复功能，观察硬盘的健康状态。
[*]使用内置的 Windows内存诊断 工具诊断内存健康度。
如果有问题，那该换的就换。
三：总结
操作系统的代码固若金汤，我们常人基本上遇不到代码导致的bug，更多的是第三方配件导致的不给力，解决此类问题大多都是修复，更换。。。
页:
[1]