記一次 Windows10 記憶體壓縮模塊 崩潰分析

来源:https://www.cnblogs.com/huangxincheng/archive/2023/04/26/17355938.html
-Advertisement-
Play Games

一：背景 1. 講故事 在給各位朋友免費分析 .NET程式 各種故障的同時，往往也會收到各種其他類型的dump，比如：Windows 崩潰，C++ 崩潰，Mono 崩潰，真的是啥都有，由於基礎知識的相對缺乏，分析起來並不是那麼的順利，今天就聊一個 Windows 崩潰的內核dump 吧，這個 dum ...


一：背景

1. 講故事

在給各位朋友免費分析 .NET程式 各種故障的同時，往往也會收到各種其他類型的dump，比如：Windows 崩潰，C++ 崩潰，Mono 崩潰，真的是啥都有，由於基礎知識的相對缺乏，分析起來並不是那麼的順利，今天就聊一個 Windows 崩潰的內核dump 吧，這個 dump 是前幾天有位朋友給到我的，讓我幫忙看一下，有了dump之後上 windbg 分析。

二：WinDbg 分析

1. 從哪裡入手

只要是 Windows 平臺上的崩潰，操作系統都會維護一個 EXCEPTION_POINTERS 結構體，這個結構體的解讀對分析問題非常重要，使用 !analyze -v 命令簡要輸出如下：


2: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

UNEXPECTED_STORE_EXCEPTION (154)
The store component caught an unexpected exception.
Arguments:
Arg1: ffffb402b9851000, Pointer to the store context or data manager
Arg2: ffffe607bc53df30, Exception information
Arg3: 0000000000000002, Reserved
Arg4: 0000000000000000, Reserved
...
EXCEPTION_RECORD:  ffffe607bc53eeb8 -- (.exr 0xffffe607bc53eeb8)
ExceptionAddress: fffff80025b04bd0 (nt!RtlDecompressBufferXpressLz+0x0000000000000050)
   ExceptionCode: c0000006 (In-page I/O error)
  ExceptionFlags: 00000000
NumberParameters: 3
   Parameter[0]: 0000000000000000
   Parameter[1]: 0000023f30ee99f0
   Parameter[2]: 00000000c0000185
Inpage operation failed at 0000023f30ee99f0, due to I/O error 00000000c0000185

EXCEPTION_PARAMETER1:  0000000000000000

EXCEPTION_PARAMETER2:  0000023f30ee99f0

CONTEXT:  ffffe607bc53e6f0 -- (.cxr 0xffffe607bc53e6f0)
rax=fffff80025b04b80 rbx=ffff9d808d7fa000 rcx=ffff9d808d7fa000
rdx=ffff9d808d7fa000 rsi=0000000000000002 rdi=0000023f30ee99f0
rip=fffff80025b04bd0 rsp=ffffe607bc53f0f8 rbp=0000023f30eea2fe
 r8=0000023f30ee99f0  r9=0000000000000964 r10=ffff9d808d7faea0
r11=0000023f30eea354 r12=ffffe607bc53f368 r13=ffffb402d84d8000
r14=ffff9d808d7fb000 r15=0000000000000000
iopl=0         nv up ei pl zr na po nc
cs=0010  ss=0000  ds=002b  es=002b  fs=0053  gs=002b             efl=00050246
nt!RtlDecompressBufferXpressLz+0x50:
fffff800`25b04bd0 418b08          mov     ecx,dword ptr [r8] ds:002b:0000023f`30ee99f0=????????
Resetting default scope
...

從卦中信息看，是由於將地址 0000023f30ee99f0 所映射的物理記憶體頁換入到記憶體中，拋了一個IO錯誤，從彙編指令 ecx,dword ptr [r8] ds:002b:0000023f30ee99f0=???????? 上也能看的出來。

如果大家不信，可以用 !vtop 和 !pte 觀察下它們對應的物理地址和物理頁號，都是找不到的。


2: kd> !vtop 0 000000006d34aca0
Amd64VtoP: Virt 000000006d34aca0, pagedir 00000003d81fb002
Amd64VtoP: PML4E 00000003d81fb002
Amd64VtoP: PML4E read error 0x8000FFFF
Virtual address 6d34aca0 translation fails, error 0x8000FFFF.

2: kd> !pte 000000006d34aca0
                                           VA 000000006d34aca0
PXE at FFFF86432190C000    PPE at FFFF864321800008    PDE at FFFF864300001B48    PTE at FFFF860000369A50
contains 0000000000000000
contains 0000000000000000
not valid

2. 洞察異常前的線程棧

有了這個初步信息之後，接下來就來觀察異常時的寄存器上下文和線程棧信息，輸出如下：


2: kd> .cxr 0xffffe607bc53e6f0 ; k
rax=fffff80025b04b80 rbx=ffff9d808d7fa000 rcx=ffff9d808d7fa000
rdx=ffff9d808d7fa000 rsi=0000000000000002 rdi=0000023f30ee99f0
rip=fffff80025b04bd0 rsp=ffffe607bc53f0f8 rbp=0000023f30eea2fe
 r8=0000023f30ee99f0  r9=0000000000000964 r10=ffff9d808d7faea0
r11=0000023f30eea354 r12=ffffe607bc53f368 r13=ffffb402d84d8000
r14=ffff9d808d7fb000 r15=0000000000000000
iopl=0         nv up ei pl zr na po nc
cs=0010  ss=0000  ds=002b  es=002b  fs=0053  gs=002b             efl=00050246
nt!RtlDecompressBufferXpressLz+0x50:
fffff800`25b04bd0 418b08          mov     ecx,dword ptr [r8] ds:002b:0000023f`30ee99f0=????????
  *** Stack trace for last set context - .thread/.cxr resets it
 # Child-SP          RetAddr               Call Site
00 ffffe607`bc53f0f8 fffff800`25a5bc10     nt!RtlDecompressBufferXpressLz+0x50
01 ffffe607`bc53f110 fffff800`25a5bb14     nt!RtlDecompressBufferEx+0x60
02 ffffe607`bc53f160 fffff800`25a5b9a1     nt!ST_STORE<SM_TRAITS>::StDmSinglePageCopy+0x150
03 ffffe607`bc53f220 fffff800`25b56ff0     nt!ST_STORE<SM_TRAITS>::StDmSinglePageTransfer+0xa5
04 ffffe607`bc53f270 fffff800`25b57904     nt!ST_STORE<SM_TRAITS>::StDmpSinglePageRetrieve+0x180
05 ffffe607`bc53f310 fffff800`25b57aed     nt!ST_STORE<SM_TRAITS>::StDmPageRetrieve+0xc8
06 ffffe607`bc53f3c0 fffff800`25a5c071     nt!SMKM_STORE<SM_TRAITS>::SmStDirectReadIssue+0x85
07 ffffe607`bc53f440 fffff800`25aad478     nt!SMKM_STORE<SM_TRAITS>::SmStDirectReadCallout+0x21
08 ffffe607`bc53f470 fffff800`25a5cb57     nt!KeExpandKernelStackAndCalloutInternal+0x78
09 ffffe607`bc53f4e0 fffff800`25a5713c     nt!SMKM_STORE<SM_TRAITS>::SmStDirectRead+0xc7
0a ffffe607`bc53f5b0 fffff800`25a56b70     nt!SMKM_STORE<SM_TRAITS>::SmStWorkItemQueue+0x1ac
0b ffffe607`bc53f600 fffff800`25b58727     nt!SMKM_STORE_MGR<SM_TRAITS>::SmIoCtxQueueWork+0xc0
0c ffffe607`bc53f690 fffff800`25b2b94b     nt!SMKM_STORE_MGR<SM_TRAITS>::SmPageRead+0x167
0d ffffe607`bc53f700 fffff800`25ad1020     nt!SmPageRead+0x33
0e ffffe607`bc53f750 fffff800`25ad023d     nt!MiIssueHardFaultIo+0x10c
0f ffffe607`bc53f7a0 fffff800`25a6e818     nt!MiIssueHardFault+0x29d
10 ffffe607`bc53f860 fffff800`25c0b6d8     nt!MmAccessFault+0x468
11 ffffe607`bc53fa00 00007ff8`c3089fa2     nt!KiPageFault+0x358
12 00000067`4ca7f270 00000000`00000000     0x00007ff8`c3089fa2

從卦中的調用棧信息看，代碼的源頭是 用戶態 (0x00007ff8c3089fa2) 過來的，應該是訪問用戶態地址 0000023f30ee99f0 上的內容，由於對應的物理頁不在記憶體中，觸發了 nt!KiPageFault 中斷，也就是 idt 表中的 0xe 號標記的 缺頁中斷, 輸出如下：


lkd> !idt

Dumping IDT: fffff8050ce87000

00:	fffff80506206400 nt!KiDivideErrorFault
...
0e:	fffff80506209980 nt!KiPageFault

在缺頁中斷中觸發了 IO 操作 MiIssueHardFaultIo 要從pagefiles 中撈頁面，接下來就是頁讀取邏輯 SmPageRead，最後在 RtlDecompressBufferXpressLz 中引發了藍屏。

如果心比較細的話，你會發現有一個關鍵詞 Decompress ，對，就是解壓縮，為什麼換入的page還要解壓縮呢？ 這就是我們的突破點。

3. 為什麼會解壓縮

要找到這個問題的答案，需要觀察下這個異常線程的詳細信息，可以用 .thread 切到異常的線程上下文，再用 !thread 觀察。


2: kd> .thread
Implicit thread is now ffffb402`be04a080

2: kd> !thread ffffb402`be04a080
THREAD ffffb402be04a080  Cid 0594.2228  Teb: 000000674c5b8000 Win32Thread: 0000000000000000 RUNNING on processor 2
Not impersonating
GetUlongFromAddress: unable to read from fffff8002641152c
Owning Process            ffffb402b8d58080       Image:         <Invalid process>
Attached Process          ffffb402b984a040       Image:         MemCompression
fffff78000000000: Unable to get shared data
Wait Start TickCount      649763       
Context Switch Count      9              IdealProcessor: 0             
ReadMemory error: Cannot get nt!KeMaximumIncrement value.
UserTime                  00:00:00.000
KernelTime                00:00:00.000
Win32 Start Address 0x00007ff8c808afb0
Stack Init ffffe607bc53fb90 Current ffffe607bc53e800
Base ffffe607bc540000 Limit ffffe607bc539000 Call 0000000000000000
Priority 8 BasePriority 7 PriorityDecrement 0 IoPriority 2 PagePriority 2
Child-SP          RetAddr               : Args to Child                                                           : Call Site
ffffe607`bc53de78 fffff800`25d9856e     : 00000000`00000154 ffffb402`b9851000 ffffe607`bc53df30 00000000`00000002 : nt!KeBugCheckEx
ffffe607`bc53de80 fffff800`25c189db     : ffffb402`b9851000 ffffe607`bc53df30 ffffe607`00000002 ffffe607`bc53dfe0 : nt!SMKM_STORE<SM_TRAITS>::SmStUnhandledExceptionFilter+0x7e
ffffe607`bc53ded0 fffff800`25bcfb1f     : fffff800`00000002 fffff800`258d905c ffffe607`bc539000 ffffe607`bc540000 : nt!`SMKM_STORE<SM_TRAITS>::SmStDirectReadIssue'::`1'::filt$0+0x22
ffffe607`bc53df00 fffff800`25c062ff     : fffff800`258d905c ffffe607`bc53e4e0 fffff800`25bcfa80 00000000`00000000 : nt!_C_specific_handler+0x9f
...

從卦中信息看，異常線程還有一個附加的進程 ffffb402b984a040，來自於 MemCompression 模塊，從名字上看所謂的 壓縮解壓縮 邏輯應該和它有關係，接下來到網上去搜一下，有一篇文章說的非常好： https://www.howtogeek.com/319933/what-is-memory-compression-in-windows-10/

大意：這是 Windows10 新增的一個功能，用記憶體壓縮技術讓RAM中可以存儲更多的記憶體頁，相比傳統的交換到 PageFiles.sys 有更高的性能，缺點就是需要耗費一些解壓縮需要的 CPU 時間。

在 Windows10 上也能窺探一二：

4. 問題解決

解決辦法很簡單，學 4S 店的問題解決之道，能換的就堅決不修，讓朋友把 記憶體壓縮 給關掉，這樣就不走
RtlDecompressBufferXpressLz 邏輯，理論上就不會有什麼問題了。

關閉之後，據朋友反饋，這幾天沒有崩潰了。

三：總結

分析內核態相比用戶態難度要大的多，需要對操作系統以及CPU的相關知識有一個比較深度的理解，任重道遠。。。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Spring Boot 項目代碼混淆，實戰來了，再也不用擔心代碼泄露了！
    編譯 簡單就是把代碼跑一哈，然後我們的代碼 .java文件 就被編譯成了 .class 文件 反編譯 就是針對編譯生成的 jar/war 包 裡面的 .class 文件 逆向還原回來，可以看到你的代碼寫的啥。 比較常用的反編譯工具 JD-GUI ，直接把編譯好的jar丟進去，大部分都能反編譯看到源碼 ...
  • java垃圾回收機制（面試）
    1.1堆空間結構 Java 的自動記憶體管理主要是針對對象記憶體的回收和對象記憶體的分配。同時，Java 自動記憶體管理最核心的功能是 堆 記憶體中對象的分配與回收。Java 堆是垃圾收集器管理的主要區域，因此也被稱作 GC 堆。Eden 區、兩個 Survivor 區 S0 和 S1 都屬於新生代，中間一層 ...
  • Java的static修飾符
    靜態域 **如果將域定義為 static，每個類中只有一個這樣的域。而每一個對象對於所有的實例域卻都有自己的一份拷貝。**例如，假定需要給每一個雇員賦予唯一的標識碼。這裡給 Employee 類添加一個實例域 id 和一個靜態域 nextld： class Employee { private st ...
  • C語言跳轉瀏覽器打開指定URL
    #include <stdlib.h> int main() { // 定義要打開的URL char* url = "https://rjku.gitee.io/"; // 調用系統命令以預設瀏覽器打開URL char command[100]; sprintf(command, "open %s" ...
  • Blazor UI庫 Bootstrap Blazor 快速上手 (v7.5.7)
    最近組件庫更新比較頻繁,有些同學感覺有點迷茫,就著今天剛上了張老闆一節課立馬擼個新的上手教程回饋社區, ;-> 1.新建工程b18QuickStartv757,將項目添加到解決方案中 dotnet new blazorserver -o b18QuickStartv757 dotnet sln ad ...
  • CefSharp自定義緩存實現
    大家好，我是沙漠盡頭的狼。 上文介紹了《C#使用CefSharp內嵌網頁-並給出C#與JS的交互示例》，本文介紹CefSharp的緩存實現，先來說說添加緩存的好處： 提高頁面載入加速：CefSharp緩存可以緩存已經載入過的頁面和資源，當用戶再次訪問相同的頁面時，可以直接從緩存中載入，而不需要重新下 ...
  • .NET 6 整合 Autofac 依賴註入容器
    前言 一行業務代碼還沒寫，框架代碼一大堆，不利於學習。 常看到java的學習資料或博客，標題一般為《SpringBoot 整合 XXX》，所以仿照著寫了《.NET 6 整合 Autofac 依賴註入容器》這樣一個標題。 以下是我自己的用法，可能不是最佳實踐。 一. 引用包 NuGet搜索並安裝： A ...
  • [譯]在C#中使用IComparable和IComparer介面
    本文同時討論了IComparable和IComparer介面，原因有兩點。這兩個介面經常一起使用。雖然介面類似且名稱相似，但它們卻有不同的用途。 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類