聊一聊 操作系统蓝屏 c0000102 的故障分析

34345

一：背景

1. 讲故事

今年以来不知道为啥总有些朋友加我微信，让我帮忙分析下操作系统蓝屏问题，我也觉得挺好奇的，就问了其中一位朋友，说是B站来的，我就在拼命回忆，为啥会找我分析蓝屏？突然想到了去年好像录了一集关于 CrowdStrike 的热点事件。。。我本来是做.NET程序的故障分析，这操作系统的蓝屏虽然不是我擅长的，但也能硬着头皮上吧。
这位朋友找到我的时候，说它已经重装过操作系统，但还是会偶发性蓝屏，让我看下到底是啥原因导致的，那就上 windbg 分析吧。
二：为什么会蓝屏

1. 到底崩溃在哪里

要想找到崩溃点，其实 windbg 提供了一个牛叉的自动化分析命令!analyze -v，它可以帮我们挖出崩溃上下文，输出如下：
14: kd> !analyze -v********************************************************************************                                                                             **                        Bugcheck Analysis                                    **                                                                             ********************************************************************************Unknown bugcheck code (c0000102)Unknown bugcheck descriptionArguments:Arg1: ffffab027a2c6030Arg2: ffffab02785d06a0Arg3: 0000000000000000Arg4: 0000000000000000PROCESS_NAME:  csrss.exeSTACK_TEXT:  ffff930a`26342578 fffff800`ef921e61     : 00000000`0000004c 00000000`c0000102 ffff930a`2733f390 ffff9703`d52fc310 : nt!KeBugCheckExffff930a`26342580 fffff800`ef93266d     : ffffffff`ffffffff ffff930a`26342699 ffffffff`80000a04 00000000`00000000 : nt!PopGracefulShutdown+0x2d9ffff930a`263425e0 fffff800`ef9101e0     : 00000000`00000001 fffff800`00000000 00000000`00000000 00000000`00000000 : nt!PopTransitionSystemPowerStateEx+0x895ffff930a`26342700 fffff800`ef8632bd     : 00000000`00000047 00000000`ffffff00 00000000`00000001 00000000`00000000 : nt!PopTransitionSystemPowerState+0x4cffff930a`263428b0 fffff800`ef862e80     : 00000000`00000000 ffff9703`00000005 00000000`00000001 00000000`c0000004 : nt!PopIssueActionRequest+0x2a9ffff930a`26342950 fffff800`ef255d3e     : 00000000`00000001 00000000`00000000 00000000`fffffffb ffff9703`c5620aa0 : nt!PopPolicyWorkerAction+0x80ffff930a`263429d0 fffff800`ef1704a2     : ffff9703`00000000 ffff9703`c57d4040 ffff930a`26342b00 ffff9703`c5620aa0 : nt!PopPolicyWorkerThread+0x7effff930a`26342a00 fffff800`ef25585a     : ffff9703`c57d4040 ffff9703`c57d4040 fffff800`ef1702f0 ffff9703`c5620aa0 : nt!ExpWorkerThread+0x1b2ffff930a`26342bb0 fffff800`ef47ae54     : ffffd901`dbd90180 ffff9703`c57d4040 fffff800`ef255800 00000000`00000000 : nt!PspSystemThreadStartup+0x5affff930a`26342c00 00000000`00000000     : ffff930a`26343000 ffff930a`2633c000 00000000`00000000 00000000`00000000 : nt!KiStartSystemThread+0x34SYMBOL_NAME:  nt!PopTransitionSystemPowerStateEx+895MODULE_NAME: ntIMAGE_NAME:  ntkrnlmp.exeIMAGE_VERSION:  10.0.26100.2605...从卦中可以看到两点信息：

• bugcode=c0000102
  

微软定义的蓝屏数字都比较小，所以看到这个码也挺奇怪的，从微软的msdn一查原来是NTSTATUS值，它表示 STATUS_FILE_CORRUPT_ERROR 即文件损坏。参见：https://learn.microsoft.com/zh-cn/troubleshoot/azure/virtual-machines/windows/error-code-0xc0000102-status-file-corrupt

• PopGracefulShutdown
  

从函数的前缀 Pop 可以看出，它是属于内核 电源管理执行体，翻译过来应该叫 Power on Plug，正在做系统的关机操作，当然这里的关机有可能是朋友做了 Close 或者 Restart 操作。
为了能够知己知彼，得需要观察下 PopGracefulShutdown 方法都在干嘛？
2. PopGracefulShutdown 在干嘛

要想找到这个答案，可以在 Reactos 中寻找答案，参考代码如下：
VOIDNTAPIPopGracefulShutdown(IN PVOID Context){    PEPROCESS Process = NULL;    /* Process the registered waits and work items */    PopProcessShutDownLists();    /* Loop every process */    Process = PsGetNextProcess(Process);    while (Process)    {        /* Make sure this isn't the idle or initial process */        if ((Process != PsInitialSystemProcess) && (Process != PsIdleProcess))        {            /* Print it */            DPRINT1("%15s is still RUNNING (%p)\n", Process->ImageFileName, Process->UniqueProcessId);        }        /* Get the next process */        Process = PsGetNextProcess(Process);    }    /* First, the HAL handles any "end of boot" special functionality */    DPRINT("HAL shutting down\n");    HalEndOfBoot();    /* Shut down the Shim cache if enabled */    ApphelpCacheShutdown();    /* In this step, the I/O manager does first-chance shutdown notification */    DPRINT("I/O manager shutting down in phase 0\n");    IoShutdownSystem(0);    /* In this step, all workers are killed and hives are flushed */    DPRINT("Configuration Manager shutting down\n");    CmShutdownSystem();    /* Shut down the Executive */    DPRINT("Executive shutting down\n");    ExShutdownSystem();    /* Note that modified pages should be written here (MiShutdownSystem) */    MmShutdownSystem(0);    /* Flush all user files before we start shutting down IO */    /* This is where modified pages are written back by the IO manager */    CcShutdownSystem();    /* In this step, the I/O manager does last-chance shutdown notification */    DPRINT("I/O manager shutting down in phase 1\n");    IoShutdownSystem(1);    CcWaitForCurrentLazyWriterActivity();    /* FIXME: Calling Mm shutdown phase 1 here to get page file dereference     * but it shouldn't be called here. Only phase 2 should be called.     */    MmShutdownSystem(1);    /* Note that here, we should broadcast the power IRP to devices */    /* In this step, the HAL disables any wake timers */    DPRINT("Disabling wake timers\n");    HalSetWakeEnable(FALSE);    /* And finally the power request is sent */    DPRINT("Taking the system down\n");    PopShutdownSystem(PopAction.Action);}从卦中的源代码看，这个关机操作主要是用来关闭各种执行体，那到底是哪一句导致的 KeBugCheckEx 呢？这就需要从汇编上寻找答案，使用 ub 命令即可。
14: kd> ub fffff800`ef921e61nt!PopGracefulShutdown+0x2b5:fffff800`ef921e3d 488b0dbc843e00  mov     rcx,qword ptr [nt!PopAction+0x40 (fffff800`efd0a300)]fffff800`ef921e44 488b4140        mov     rax,qword ptr [rcx+40h]fffff800`ef921e48 4c8b4938        mov     r9,qword ptr [rcx+38h]fffff800`ef921e4c 4c8b4130        mov     r8,qword ptr [rcx+30h]fffff800`ef921e50 488b5128        mov     rdx,qword ptr [rcx+28h]fffff800`ef921e54 8b4920          mov     ecx,dword ptr [rcx+20h]fffff800`ef921e57 4889442420      mov     qword ptr [rsp+20h],raxfffff800`ef921e5c e86f6799ff      call    nt!KeBugCheckEx (fffff800`ef2b85d0)从汇编中可以看到 KeBugCheckEx 中的各种值是来自于 PopAction 结构体，这个结构体是关机操作的一个上下文类 _POP_POWER_ACTION，接下来根据汇编代码用 dt 给导出来，参考如下：
14: kd> dt nt!_POP_POWER_ACTION fffff800`efd0a300-0x40   +0x000 Updates          : 0 ''   +0x001 State            : 0x3 ''   +0x002 Shutdown         : 0x1 ''   +0x004 Action           : 5 ( PowerActionShutdownReset )   +0x008 LightestState    : 6 ( PowerSystemShutdown )   +0x00c Flags            : 0xc0000004   +0x010 Status           : 0n0   +0x014 DeviceType       : 4 ( PolicyInitiatePowerActionAPI )   +0x018 DeviceTypeFlags  : 0   +0x020 RequestorInformation : 0xffffab02`785e2b50 _DIAGNOSTIC_BUFFER   +0x028 IrpMinor         : 0x2 ''   +0x029 Waking           : 0 ''   +0x02c SystemState      : 6 ( PowerSystemShutdown )   +0x030 NextSystemState  : 1 ( PowerSystemWorking )   +0x034 EffectiveSystemState : 6 ( PowerSystemShutdown )   +0x038 CurrentSystemState : 1 ( PowerSystemWorking )   +0x040 ShutdownBugCode  : 0xffff930a`2733f250 _POP_SHUTDOWN_BUG_CHECK   +0x048 DevState         : 0xffff9703`d2bf71d0 _POP_DEVICE_SYS_STATE   +0x050 HiberContext     : (null)    +0x058 WakeTime         : 0   +0x060 SleepTime        : 0   +0x068 WakeFirstUnattendedTime : 0   +0x070 WakeAlarmSignaled : 0 ( PoAc )   +0x078 WakeAlarm        : [3] <unnamed-tag>   +0x0c0 WakeAlarmPaused  : 0 ''   +0x0c8 WakeAlarmLastTime : 0   +0x0d0 DozeDeferralStartTime : 0   +0x0d8 FilteredCapabilities : SYSTEM_POWER_CAPABILITIES   +0x128 WatchdogLock     : 0   +0x130 WatchdogDpc      : _KDPC   +0x170 WatchdogTimer    : _KTIMER   +0x1b0 WatchdogInitialized : 0x1 ''   +0x1b4 WatchdogState    : 0 ( PopPowerActionWatchdogStateDisabled )   +0x1b8 WatchdogStartTime : 0   +0x1c0 WatchdogTimeout  : 0   +0x1c8 ActionWorkerThread : 0xffff9703`c57d4040 _KTHREAD   +0x1d0 PromoteActionWorkerThread : (null)    +0x1d8 UnlockAfterSleepWorkerThread : (null) 14: kd> dx -id 0,0,ffff9703d27541c0 -r1 ((ntkrnlmp!_POP_SHUTDOWN_BUG_CHECK *)0xffff930a2733f250)((ntkrnlmp!_POP_SHUTDOWN_BUG_CHECK *)0xffff930a2733f250)                 : 0xffff930a2733f250 [Type: _POP_SHUTDOWN_BUG_CHECK *]    [+0x000] InitiatingThread : 0xffff9703d274f140 [Type: _ETHREAD *]    [+0x008] InitiatingProcess : 0xffff9703d27541c0 [Type: _EPROCESS *]    [+0x010] ThreadId         : 0x4dc [Type: void *]    [+0x018] ProcessId        : 0x4d8 [Type: void *]    [+0x020] Code             : 0x4c [Type: unsigned long]    [+0x028] Parameter1       : 0xc0000102 [Type: unsigned __int64]    [+0x030] Parameter2       : 0xffff930a2733f390 [Type: unsigned __int64]    [+0x038] Parameter3       : 0xffff9703d52fc310 [Type: unsigned __int64]    [+0x040] Parameter4       : 0xffff9703d53bdcc0 [Type: unsigned __int64]从卦中可以看到如下信息：

• Action=5
  

原来这是一个 PowerActionShutdownReset 操作，即 重启 操作。

• Code=0x4c
  

从 _POP_SHUTDOWN_BUG_CHECK 结构体中可以看到，真正的 BugCheck=0x4c，而导致 0x4c 的真正原因是 0xc0000102，这个在 !anlayze -v 中没有体现出来。
顺带提醒一下，也可以用 kb 2 的 Args to Child 区域直接观察父子异常码。
14: kd> kb 2 # RetAddr               : Args to Child                                                           : Call Site00 fffff800`ef921e61     : 00000000`0000004c 00000000`c0000102 ffff930a`2733f390 ffff9703`d52fc310 : nt!KeBugCheckEx01 fffff800`ef93266d     : ffffffff`ffffffff ffff930a`26342699 ffffffff`80000a04 00000000`00000000 : nt!PopGracefulShutdown+0x2d93. 到底是什么文件损坏了

在 reactos 中没有找到对 _POP_SHUTDOWN_BUG_CHECK 结构的相关赋值逻辑，所以此时只能在几个 Parameter 参数上下手，可以 du 观察这几个参数。
14: kd> db 0xffff930a2733f390ffff930a`2733f390  30 60 2c 7a 02 ab ff ff-a0 06 5d 78 02 ab ff ff  0`,z......]x....ffff930a`2733f3a0  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................ffff930a`2733f3b0  00 00 00 00 00 00 00 00-20 25 73 20 25 73 0a 00  ........ %s %s..ffff930a`2733f3c0  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................ffff930a`2733f3d0  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................ffff930a`2733f3e0  54 68 65 20 66 69 6c 65-20 6f 72 20 64 69 72 65  The file or direffff930a`2733f3f0  63 74 6f 72 79 20 73 78-73 73 72 76 20 69 73 20  ctory sxssrv is ffff930a`2733f400  63 6f 72 72 75 70 74 20-61 6e 64 20 75 6e 72 65  corrupt and unre14: kd> db 0xffff9703d52fc310ffff9703`d52fc310  0a 53 54 4f 50 3a 20 63-30 30 30 30 31 30 32 20  .STOP: c0000102 ffff9703`d52fc320  7b 43 6f 72 72 75 70 74-20 46 69 6c 65 7d 0a 00  {Corrupt File}..ffff9703`d52fc330  a6 01 03 02 44 50 44 69-71 d0 64 bc 00 00 00 00  ....DPDiq.d.....ffff9703`d52fc340  5c 00 44 00 72 00 69 00-76 00 65 00 72 00 5c 00  \.D.r.i.v.e.r.\.ffff9703`d52fc350  41 00 6d 00 64 00 50 00-50 00 4d 00 00 00 00 00  A.m.d.P.P.M.....ffff9703`d52fc360  b7 01 03 02 44 50 44 69-3d d5 a1 9c 00 00 00 00  ....DPDi=.......ffff9703`d52fc370  5c 00 44 00 72 00 69 00-76 00 65 00 72 00 5c 00  \.D.r.i.v.e.r.\.ffff9703`d52fc380  61 00 6d 00 64 00 69 00-32 00 63 00 00 00 00 00  a.m.d.i.2.c.....14: kd> da /c100 0xffff9703d53bdcc0ffff9703`d53bdcc0  "The file or directory sxssrv is corrupt and unreadable...Please run the Chkdsk utility..."从 Parameter4 上可以看到原来是 sxssrv.dll 损坏了，通过网络查了下是个 windows子系统文件，所以这个是罪魁祸首，截图如下：

到这里我们大概就捋出来了，原来是客户在电脑重启的过程中，操作系统发现 sxssrv.dll 文件有损，而它又是操作系统非常重要的一个系统文件，所以就蓝屏了。
4. 如何解决

• 使用 sfc /scannow 修复受保护的系统文件，并自动修复。
  
• 使用 DISM /Online /Cleanup-Image /RestoreHealth 修复系统镜像。
  

如果上面都搞不定，并且重装系统也不行，那大概率就是内存或者硬盘的问题了。

• 使用 diskgenius 工具的 坏道检测和修复功能，观察硬盘的健康状态。
  
• 使用内置的 Windows内存诊断 工具诊断内存健康度。
  

如果有问题，那该换的就换。
三：总结

操作系统的代码固若金汤，我们常人基本上遇不到代码导致的bug，更多的是第三方配件导致的不给力，解决此类问题大多都是修复，更换。。。