一、事出原因

最近不知道怎么回事，家里電腦經(jīng)常性地出現(xiàn)藍(lán)屏(先死機(jī)后藍(lán)屏)，很多時候有些文檔沒有保存便藍(lán)屏導(dǎo)致文檔丟失，其中也包括您現(xiàn)在正在看到的這一篇文章(撰寫本文時，藍(lán)了一次)，以前一直比較懶，重啟大法一頓懟，然后重新再做編輯，只不過PPT重做簡直要人命，無奈之下，放下了所有的工作，來研究研究藍(lán)屏的原因，順便正兒八經(jīng)使用一下Typora。

PS：本文結(jié)尾提到的解決方案較為野蠻粗暴，可能讓你本就不富裕的家庭雪上加霜，請慎用！

二、準(zhǔn)備工作

使用的工具：WinDBG
導(dǎo)入的文件：C:\Windows\Minidump\xxxxxx.dmp

關(guān)于WinDBG這款神器想必?zé)o需再做多的介紹，至于導(dǎo)入文件的目錄為windows在遇到藍(lán)屏之后會保存的dmp文件所在的位置，我的電腦是Win10系統(tǒng)，其它系統(tǒng)目前暫時不知道，在網(wǎng)上也有看到消息說要提前設(shè)置好，但是我并沒有設(shè)置，這里也貼一下設(shè)置的圖片吧。

也有文章說寫入調(diào)試信息需要選擇第一個。

另外需要設(shè)置WinDBG的訪問符號，在WinDBG官網(wǎng)中可以看到

Symbol Server (Microsoft):
復(fù)制代碼隱藏代碼
srv*c:\mss*http://msdl.microsoft.com/download/symbols
Symbol Server (Citrix):
復(fù)制代碼隱藏代碼
srv*c:\css*http://ctxsym.citrix.com/symbols
.symfix c:\mss.sympath+ srv*c:\css*http://ctxsym.citrix.com/symbols

可使用環(huán)境變量設(shè)置，也可在軟件File - Symbol File Path中進(jìn)行設(shè)置，至此，準(zhǔn)備工作一切就緒，下面即可進(jìn)行分析。

三、分析過程

WinDBG打開dmp文件，稍等一會便可出現(xiàn)分析報告，我的分析報告如下：

 復(fù)制代碼 隱藏代碼
Microsoft (R) Windows Debugger Version 6.12.0002.633 X86
Copyright (c) Microsoft Corporation. All rights reserved.

Loading Dump File [C:\Users\Tory\Desktop\120421-10187-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: SRV*C:\Symbols*http://msdl.microsoft.com/download/symbols;SRV*c:\mysymbol* http://msdl.microsoft.com/download/symbols
Executable search path is: 
Windows 7 Kernel Version 19041 MP (6 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Machine Name:
Kernel base=0xfffff805`67c00000 PsLoadedModuleList=0xfffff805`6882a1d0
Debug session time: Sat Dec  4 20:02:02.508 2021 (UTC + 8:00)
System Uptime: 0 days 1:07:26.549
Loading Kernel Symbols
...............................................................
................................................................
................................................................
................
Loading User Symbols
Loading unloaded module list
.........
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck 3B, {c0000005, fffff80567efbfd2, ffffe90838039420, 0}

Probably caused by : Unknown_Image ( PAGE_NOT_ZERO )

Followup: MachineOwner
---------

 *** Memory manager detected 62334 instance(s) of page corruption, target is likely to have memory corruption.

5: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

SYSTEM_SERVICE_EXCEPTION (3b)
An exception happened while executing a system service routine.
Arguments:
Arg1: 00000000c0000005, Exception code that caused the bugcheck
Arg2: fffff80567efbfd2, Address of the instruction which caused the bugcheck
Arg3: ffffe90838039420, Address of the context record for the exception that caused the bugcheck
Arg4: 0000000000000000, zero.

Debugging Details:
------------------

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - 0x%p

FAULTING_IP: 
nt!RtlpIsNameInExpressionPrivate+92
fffff805`67efbfd2 6683382a        cmp     word ptr [rax],2Ah

CONTEXT:  ffffe90838039420 -- (.cxr 0xffffe90838039420)
rax=ffff7b83a1b1ab84 rbx=0000000000000074 rcx=ffffa583a1b1ab40
rdx=ffffe90838039fb0 rsi=0000000000000000 rdi=ffffa583a1b1ab40
rip=fffff80567efbfd2 rsp=ffffe90838039e20 rbp=0000000000000000
 r8=0000000000000000  r9=ffffa583a1b1ab40 r10=0000000000000032
r11=ffffe90838039fb0 r12=0000000000000000 r13=ffffbb07cac1d880
r14=0000000000000000 r15=000000000000005c
iopl=0         nv up ei pl nz na po nc
cs=0010  ss=0018  ds=002b  es=002b  fs=0053  gs=002b             efl=00050206
nt!RtlpIsNameInExpressionPrivate+0x92:
fffff805`67efbfd2 6683382a        cmp     word ptr [rax],2Ah ds:002b:ffff7b83`a1b1ab84=????
Resetting default scope

CUSTOMER_CRASH_COUNT:  1

DEFAULT_BUCKET_ID:  VISTA_DRIVER_FAULT

BUGCHECK_STR:  0x3B

PROCESS_NAME:  QQPYUserCenter

CURRENT_IRQL:  0

BAD_PAGES_DETECTED: f37e

LAST_CONTROL_TRANSFER:  from fffff80567efbe58 to fffff80567efbfd2

STACK_TEXT:  
ffffe908`38039e20 fffff805`67efbe58 : ffffbb07`00000003 00000000`00000000 ffffbb07`cac1d880 00000000`00000000 : nt!RtlpIsNameInExpressionPrivate+0x92
ffffe908`38039f10 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!RtlIsNameInExpression+0x48

SYMBOL_NAME:  PAGE_NOT_ZERO

FOLLOWUP_NAME:  MachineOwner

MODULE_NAME: Unknown_Module

IMAGE_NAME:  Unknown_Image

DEBUG_FLR_IMAGE_TIMESTAMP:  0

STACK_COMMAND:  .cxr 0xffffe90838039420 ; kb

BUCKET_ID:  PAGE_NOT_ZERO

Followup: MachineOwner
---------

 *** Memory manager detected 62334 instance(s) of page corruption, target is likely to have memory corruption.

重點(diǎn)關(guān)注第30行以下，其中BugCheck 3B, {c0000005, fffff80567efbfd2, ffffe90838039420, 0}大致可以看出錯誤代碼為0x0000003B，百度一下即可知該錯誤代碼多為軟硬件兼容性問題，此事心里大概有一個底了。Probably caused by : Unknown_Image ( PAGE_NOT_ZERO )這里其實(shí)可以關(guān)注一下，由于結(jié)果未“Unknown_Image”所以也失去了分析它的意義了。

其實(shí)低49-54行給出了導(dǎo)致錯誤的進(jìn)程具體位置，這個我看不懂，感興趣的大佬可以給我解釋一下，要怎么分析到他的具體地址。

從第81行開始較為重要，其中拋出的“VISTA_DRIVER_FAULT”表示訪問驅(qū)動錯誤，PROCESS_NAME指向了QQPYUserCenter，表示罪魁禍?zhǔn)资窃撨M(jìn)程，即“QQ拼音用戶中心”，但是我實(shí)在想不通為什么QQ拼音和驅(qū)動又有關(guān)系了。

繼續(xù)向下看到第94、95行，表示該進(jìn)程調(diào)用了ntdll中的RtlIsNameInExpression之后又調(diào)用了RtlpIsNameInExpressionPrivate+0x92函數(shù)時出錯了，該問題也可在第62-64行能夠清楚看到具體出錯的反匯編代碼。

 復(fù)制代碼 隱藏代碼
FAULTING_IP: 
nt!RtlpIsNameInExpressionPrivate+92
fffff805`67efbfd2 6683382a        cmp     word ptr [rax],2Ah

四、總結(jié)

至此，分析全部結(jié)束，并做一下最終的總結(jié)：此次藍(lán)屏主要原因是QQPYUserCenter與某個軟硬件發(fā)生驅(qū)動訪問時出現(xiàn)問題，既然有驅(qū)動則多為硬件所致。

在網(wǎng)上查詢了很多信息，用排除法最終鎖定了“Logitech MouseWare”即羅技鼠標(biāo)，因?yàn)橥庠O(shè)我就用了羅技的鼠標(biāo)和鍵盤。

五、解決方案

更新Logitech的驅(qū)動

六、參考文獻(xiàn)

WinDBG官網(wǎng)

WinDbg分析藍(lán)屏dump原因

安裝與配置windbg的symbol(符號)

WinDbg 藍(lán)屏分析 Windows Dump 文件教程

windbg-> !analyze -v 信息詳解