系统蓝屏检测及分析.ppt

蓝屏分析及处理 YimooQQ 641251015 为什么会蓝屏呢 在Windows系统中 蓝屏时时刻刻都会出现 究其原因 一般都是由于软件和系统的不完善 冲突导致的 具体来说 可以简单理解为 在软件运行过程中 某 些 文件 需要读取 写入内存地址 在这个过程中出现了错误 导致冲突或者错误 而进一步造成的蓝屏 分析蓝屏的目的 蓝屏本身是一个综合性问题 引发的原因非常多 平时遇到这种情况我们需要利用辅助软件 查出是由于哪个文件引起的 借助其他方面的知识 判断该文件的用途 以此来尝试解决 或者说是尽量减少系统蓝屏的可能 页面文件 指操作系统反映构建并使用虚拟内存的硬盘空间大小所使用的文件 具体来说 在windows操作系统下pagefile sys这个文件 它就是系统页面文件 也就是大家熟知的虚拟内存文件 要求 最小16 16M 小存储器转储文件 小存储器转储文件记录可帮助确定计算机为什么意外停止的最小的有用信息集 此选项要求启动卷 一般指系统分区 如C区 上有一个至少为2MB的页面文件 在运行MicrosoftWindows2000或更高版本的计算机上 计算机每次意外停止时Windows都会新建一个文件 这些文件的历史记录存储在一个文件夹中 开启小内存转储记录功能 右键点击 计算机 我的电脑 选择属性 高级系统设置 XP没有这一步 高级 启动和故障恢复下的设置 在 写入调试信息 下方 选择 小内存转储 128KB XP下是64K 将C盘的虚拟内存设定最小16 16M以上 并重启电脑生效 DUMP文件 Dump文件是进程的内存镜像 可以把程序的执行状态通过调试器保存到dump文件中 该文件是用来给驱动程序编写人员调试驱动程序用的 这种文件必须用专用工具软件打开 比如使用BlueScreenView打开 BlueScreenView网上有很多下载 百度一下吧 DUMP文件的用途 以前我们总是在记录蓝屏代码 百度原因后大致的问题 无法准确地定位到导致蓝屏的文件所在 现在我们通过Dump文件分析很大程度上就是分析蓝屏产生的原因 再现蓝屏情景 直指要害 DUMP文件类型 完整内存转储太大 一般是物理内存大小或多一些 包括了用户进程页面 这种方式不实用 2GB的物理内存转储出来至少要2GB的磁盘空间 还有文件头信息 内核转储一般是200MB大小 物理内存小于4GB 它只是包含了所有属于内核模式的物理内存 小内存转储一般是64KB WIN7 VISTA一般是128KB BlueScreenView 在运行该软件之前 必须确保 Windows Minidump目录下存在dump文件 软件运行后 会自动读取该目录下全部dump文件 该软件可以再现windows蓝屏界面 Youseeit 点击软件的 选项 显示下方面板 选择 显示为XP样式的系统崩溃蓝屏 进一步分析 TheProblemseemstobecausedbythefollowingfile KNetWch sys翻译过来 此问题可能是由