Windows crash debug环境构建-Windows系列-PHP中文网

Windows crash debug环境构建

雪夜

发布： 2025-09-09 08:29:12

原创

724人浏览过

windows 调试器（windbg）可以用于调试内核模式和用户模式代码，分析故障转储文件，并在代码执行时检查 cpu 寄存器。这对于解决蓝屏、异常重启和关机后的 crash 问题非常有用。

Windbg 官方网站链接：

https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/debugger-download-tools

登录后复制

蓝屏 Bug 检查代码参考：

https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/bug-check-code-reference2

登录后复制

安装 WinDbg：

快捷安装方法：在腾讯软件中心搜索 WinDbg，下载并安装安装包。链接为：
```
https://pc.qq.com/search.html#!keyword=windbg
```
登录后复制

Windows crash debug环境构建

通过 winsdksetup 安装，在线安装 WinDbg 模块。

Windows crash debug环境构建

分析 dump 文件：

牛NIUCMS本地O2O系统

牛NIUCMS本地O2O系统是一个以php+mysql进行开发的o2o网站系统。NIUCMS是一款强大的网站管理系统。支持智慧城市、智慧小区、智慧乡村、本地生活门户、本地O2O平台的构建。请注意以下几点：1、这套源码必须要服务器支持伪静态，是支持.htaccess规则的伪静态，一般Apache服务器支持，别搞的下载回去以后说什么缺少文件，其实源码并非缺少文件。2、这套源码请在php 5.4环境下

查看详情

安装完成后，打开 WinDbg（X64），点击 "Open Crash Dump" 选择需要分析的 dump 文件。

Windows crash debug环境构建

点击
```
!analyze -v
```
登录后复制
分析 dump 文件。

Windows crash debug环境构建

根据关键字判断故障原因：

DRIVER_IRQL_NOT_LESS_OR_EQUAL 代表一般是软件驱动导致的故障。根据 MODULE_NAME 和 IMAGE_NAME 找到罪魁祸首是 termdd.sys 驱动文件。BUCKET_ID 字段显示当前故障所属的特定故障类别。BUCKET_ID: X64_0xD1_termdd!IcaChannelInputInternal+1f2

登录后复制

根据关键字可以进行匹配，符合 Windows 远程代码执行（RCE）漏洞 CVE-2019-0708 的特征。

参考文档：

https://www.anquanke.com/post/id/185508

登录后复制

For analysis of this file, run !analyze -v
kd> !analyze -v
********************************************************************************
**                        Bugcheck Analysis                                    **
********************************************************************************
DRIVER_IRQL_NOT_LESS_OR_EQUAL (d1)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If kernel debugger is available get stack backtrace.
Arguments:
Arg1: 0000000000000000, memory referenced
Arg2: 0000000000000002, IRQL
Arg3: 0000000000000000, value 0 = read operation, 1 = write operation
Arg4: fffff88002527006, address which referenced memory
Debugging Details:
------------------

登录后复制

Windows crash debug环境构建