Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
Windows内核调试
系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
爱杀之爪
2010-09-06, 10:38 上午
是在真实主机运行驱动的，虚拟机什么的运行都没事，主机运行就死机，搞不了dump，没法分析啊
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
王宇
2010-09-06, 13:25 下午
说点对而无用的。
http://www.usenix.org/events/sec08/tech/halderman.html
USENIX Security '08 的最佳学生论文奖是 Princeton University 大学研究小组的《Lest We Remember: Cold Boot Attacks on Encryption Keys》
它们利用剩磁效应，以 iPod 等为工具，抓取机器的内存信息，也是一个不错的思路。
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
爱杀之爪
2010-09-06, 14:09 下午
哥，心都碎了。。
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
王宇
2010-09-06, 16:10 下午
心碎什么，上 Syser 调试呗，定位最多一小时。
从你的描述我猜你在实验IDT相关的代码，你的虚拟机是单核，那些代码能跑，你的主机是多核的，代码就瞎了吧。
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
爱杀之爪
2010-09-11, 23:49 下午
饿，不好意思，猜错了哦，都是单核的，也不是在搞IDT
暴力搜索内存的驱动对象这段代码在主机运行就死机
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
王宇
2010-09-12, 00:55 上午
那就更好办了，这种百把行的代码，半小时定位足够了。
这种方法的根源就不靠谱，Joanna 的 Demo 除了限定搜索范围外，还要靠 MmIsAddressValid 保着。IceSword 为了防止此类蓝屏甚至 SetJump/LongJump 去 Hook KeBugCheckEx，想要暴力虚存这些懒是偷不得的。
另外，你别是在内核死循环了。
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
格蠹老雷
2010-09-12, 20:12 下午
热键触发蓝屏使用的IRQL是10左右（键盘驱动的IRQL），对于挂在更高IRQL的情况是不奏效的。建议先尝试一下双击内核调试，基于时钟中断，IRQL是28，有效范围还是大大提高的。
如果双机内核调试还无法中断，那很可能是硬件瘫痪了，访问了映射在内存空间的设备空间（MMIO），触发了硬件的局限，CPU不“转”了。对于这种情况，如果没有ITP，那么就要“未雨绸缪”了，建议先试一下，开启Verifier，看Verifier机制能否拦截到“疯狂”访问。
王宇的实践经验非常丰富，上面的推测也是有道理的，他提供的建议也很值得思考......
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
爱杀之爪
2010-09-14, 18:08 下午
谢谢王宇大大撒，这个感觉定位没什么意思的，就是一个循环而已，而且在虚拟机等其他机器运行都正常，
哈哈，MmIsAddressValid 抱着都不行，要用IsValid
Re: 系统挂死，按热键也不起作用，led灯都不能切换了，跪求方法蓝屏
爱杀之爪
2010-09-14, 18:10 下午
恩，非常感谢撒，想搞个双机调试，没条件，哎，算了