Kako provjeriti simbolima za ispravljanje pogrešaka sustava Windows

Učitavanje ispravljanje pogrešaka jezgre sustava

Normalni opterećenja ispravljanje pogrešaka jezgre prikazuje jedan od sljedećih odzivnike:

KD > Uniprocessor sustava 0: kd > višeprocesorskim sustavaNaredbeni redak dolje prikazanim označava datoteku simbol za datoteka Ntoskrnl.exe netočna. Provjerite odgovarajuće jezgre višeprocesorskog ili uniprocessor i HAL kopiraju u stablu simbol. Primjer:Symbol search path is: C:\symbolskd: crash dump initialized [c:\dump\memory.dmp]could not determine the current processor, using zeroKernel Version 1057 Free loaded @ 0x80100000Bugcheck 0000001e : c0000005 80151d5b 00000000 00000001*** Contents Deleted ***16kd> Kada program za ispravljanje pogrešaka jezgre učitava datoteku Memory.dmp jezgre verzija, kao i broj procesora je prikazana u prvih nekoliko redaka. Potvrda count procesor odgovara s odgovarajućim jezgre i HAL. Upravljački program simbol informacije se prikazuju kao na simbole učitavanja ili Odgođene. Učitaj uzorak:Symbol search path is: C:\symbolskd: crash dump initialized [c:\dump\memory.dmp]Kernel Version 1057 Free loaded @ 0x80100000Bugcheck 0000001e : c0000005 80151d5b 00000000 00000001re-loading all kernel symbolsKD: unloading symbols for "ntoskrnl.exe"KD: deferring symbol load for "ntoskrnl.exe" at 80100000KD: Loaded (2248) fpo entries for image (ntoskrnl.exe)KD: "ntoskrnl.exe" loaded 4074 symbols (80100000-801bbb80)KD: loaded symbols for "ntoskrnl.exe"KD: deferring symbol load for "atapi.sys" at fc810000KD: deferring symbol load for "diskdump.sys" at fc800000KD: deferring symbol load for "hal.dll" at 80400000KD: deferring symbol load for "atapi.sys" at 80010000KD: deferring symbol load for "SCSIPORT.SYS" at 80013000KD: deferring symbol load for "Atdisk.sys" at 80001000KD: deferring symbol load for "Scsidisk.sys" at 8001b000KD: deferring symbol load for "Fastfat.sys" at 80372000Unable to read image header for Floppy.SYS at fc820000 - status c0000001*** Contents Deleted ***KD: deferring symbol load for "srv.sys" at fc9e0000KD: deferring symbol load for "ntdll.dll" at 77f80000finished re-loading all kernel symbolsNT!_PspUnhandledExceptionInSystemThread+0x18:80131ff8 b801000000 mov eax,0x1kd> Imajte na umu da program za ispravljanje pogrešaka jezgre sustava je "Nije moguće pročitati slike zaglavlje za Floppy.sys na fc820000 - status c0000001." Ovu poruku je normalno jer zaglavlje određeni upravljački program trenutno nije u memoriji.

Provjeri vrijeme stvaranja s! upravljačke programe

Korištenje u ! upravljačke programe naredba popis upravljačkih programa trenutno učitani u memoriju. Provjerite bilješku datume i vremena upravljačke programe i li ili ne mogu biti učitani. (Šifra veličina i veličina podataka stupaca u sljedećem primjeru uklanjaju da odgovara širini članak)kd> !driversBase Code Size Data Size Driver Name Creation Time80100000 Ntoskrnl.exe Fri May 26 18:18:36 199580400000 Hal.dll Thu May 11 13:54:18 199580010000 Atapi.sys Tue May 23 21:01:41 199580013000 Scsiport.sys Fri May 05 23:11:06 199580001000 Atdisk.sys Fri May 05 23:10:40 19958001b000 Scsidisk.sys Fri May 05 23:11:01 199580372000 Fastfat.sys Mon May 22 23:57:13 1995fc820000 Floppy.sys Header Paged Outfc830000 Scsicdrm.sys Wed May 10 21:57:03 1995fc840000 Fs_Rec.sys Header Paged Outfc850000 Null.sys Header Paged Outfc860000 Beep.sys Header Paged Outfc870000 I8042prt.sys Fri May 05 23:10:42 1995fc880000 Mouclass.sys Fri May 05 23:10:45 1995fc890000 Kbdclass.sys Fri May 05 23:10:44 1995fc8b0000 Videoprt.sys Fri May 05 23:10:05 1995fc8a0000 S3.sys Fri May 19 21:18:06 1995fc8c0000 Vga.sys Fri May 05 23:10:10 1995fc8d0000 Msfs.sys Fri May 05 23:11:57 1995fc8e0000 Npfs.sys Fri May 05 23:11:40 1995fc900000 Ndis.sys Mon May 22 20:23:18 1995fc8f0000 El59x.sys Fri Feb 10 16:18:09 1995fc940000 Tdi.sys Fri May 05 23:13:09 1995fc920000 Nbf.sys Mon May 08 15:00:47 1995fc950000 Netbios.sys Fri May 05 23:13:19 1995fc960000 Parport.sys Header Paged Outfc970000 Parallel.sys Header Paged Outfc980000 Serial.sys Fri May 05 23:11:20 1995fc990000 Afd.sys Header Paged Outfc9a0000 Rdr.sys Wed May 17 17:18:16 1995fc9e0000 Srv.sys Wed May 24 21:56:59 1995TOTAL: 1ab460 (1709 kb) 3b7c0 ( 237 kb) ( 0 kb 0 kb)kd> Zabilježite vrijeme stvaranja datoteke koja je datum prevesti datoteku. Taj je datum blizu pečat Date\Time na stvarne datoteke kada gledate Winnt\System32\Drivers podmapu koristeći Upravitelj datoteka. Ako pretplatiti na na Microsoft razvojni inženjeri Network (MSDN) ili imaju Windows uređaj upravljački program Kit (DDK), alat Link.exe mogu se potvrda da je datoteka Dbg istu datoteku koja je stvorena kada upravljački program kompiliran. "Vrijeme datum pečat" u donjem primjeru odgovara "Stvaranje vrijeme" Netbios.sys iznad izlaza. Koristite Link.exe za provjeru "vrijeme datum pečat" Dbg datoteke:

POVEZIVANJE - izvadaka - \symbols\sys\netbios.dbg zaglavljaMicrosoft (R) COFF binarna datoteka Dumper verziju 3.00.5270 Autorska prava (C) Microsoft Corp 1992-1995. Sva prava pridržana. Dump datoteku Netbios.dbg

4944 potpisa 0 zastavice 306 karakteristike 14C strojne grupe (i386)2FAAE94F vrijeme datum pečat Fri možda 05 23:13:19 1995

Kontrolni zbroj 8D0B slike 10000 osnovni sliku 70A0 veličinu slike** Sadržaj izbrisane ** ako u ! upravljačke programe naredba daje retke koji izgledati ovako, važno tablicu u s izvatkom je oštećena. Daljnje analize s izvatkom možda neće biti moguće.

Unassembling funkcija

Simbol datoteke omogućiti ispravljanje pogrešaka jezgre reference funkcije i globalne varijable po nazivu. Spot provjeriti nekoliko unassembled funkcije provjerite izgledaju pravilan. Mnoge funkcije su kompilator optimizirana i nisu nužno u skladu Primjeri ispod. Kompilator optimizirane funkcije prepoznaju se po FPO zagrade u naziv funkcije. Funkcije obično počinju ili "Pritisni ebp" ili "mov eax, [000000000] FČ." Osnovno znanje jezika stroj i doživljaj će omogućiti jedan prepoznaje ove funkcije.

• Popis učitane module x *!

• Popis simbola za modul (na primjer, Ntoskrnl.exe). x nt! *

• Odaberite funkciju unassemble to jest nije kompilator optimizirana. u NT! _NtUnlockFile

Dobar simboli

kd> u NT!_NtUnlockFileu NT!_NtUnlockFileNT!_NtUnlockFile:80156bd8 64a100000000     mov     eax,fs:[00000000]80156bde 55               push    ebp80156bdf 8bec             mov     ebp,esp80156be1 6aff             push    0xff80156be3 68200d1080       push    0x80100d2080156be8 68304f1380       push    0x80134f3080156bed 50               push    eax80156bee 64892500000000   mov     fs:[00000000],espkd> 

Unassembly funkcija trebao izgledati slične tekst iznad; Međutim, u unassembly mogu se promijeniti. Ako u unassembly izgleda ispravan, možete pretpostavljaju da simboli ste pravilno učitati za ovom modulu. Sljedeće unassembly počinje sa "jnz NT! _NTUnlockFile + 0x22." Početak funkciju očito, želite pokrenuti sa šifrom uputu skočni. Ponovno provjerite stablo simbol.

Loš simboli

kd> u NT!_NTUnlockFileu NT!_NTUnlockFileNT!_NtUnlockFile:801574a4 7520             jnz     NT!_NtUnlockFile+0x22 (801574c6)801574a6 6a00             push    0x0801574a8 8d45dc           lea     eax,[ebp-0x24]801574ab 50               push    eax801574ac 53               push    ebx801574ad ff356c361480     push    dword ptr [NT!_CcNoDelay+0x4 (8014366c)]801574b3 6a01             push    0x1801574b5 ff7508           push    dword ptr [ebp+0x8] 

Servisni paket simboli

Postoje vremena kada je teško odgovaraju simbole s određenom instalacije. Na nekim točki u vrijeme servis nije dodane potreban kopiranje datoteka iz instalacije CD-ROM Windows koja kopira preko datoteke koje su ažurirane sa service pack. Svakako ponovo primijeniti servisni paket i bilo koje treće strane podršku diskovima nakon promjene instalacija sustava koja kopira datoteke s CD-ROM za instalaciju sustava Windows. Simboli se primjenjivati u istom redoslijedu kao instalaciju.