看了一下 hfile.sys 是一个写的很不好的文件夹过滤驱动(SSDT Hook NtQueryDirectoryFile)...... 甚至还不及 Rootkit.com 的 Demo

还是没太看懂楼主描述的问题... MmIsAddressValid 其实就是判断PDE/PTE Present 位的有效性： PointerPte->u.Hard.Valid #define MI_PDE_MAPS_LARGE_PAGE(PDE) ((PDE)->u.Hard.LargePage == 1) 在 dispatch 及以上级别引发页错误肯定蓝屏

还是建议每周熬夜别超过2次，不然次日早上上班很难过的，等于上午没效率。 如果第二天上午还要上班，熬夜超过凌晨5点干脆就不要睡了... 周末多去公园走走，看看山水，看看关在笼子里的生灵找找平衡 嘿嘿

猜测原因是没有意义的，还是分析dump吧。

嘿嘿 谢谢你们呀！ ^_^ : P

刚封装完一个库，小感慨一下， CSRSS 启动的命令行参数够变态...1: kd> ?? pUnitstruct _PROCESS_UNIT * 0x817da150   +0x000 Next             : (null)    +0x004 Index            : 4   +0x008 ...

我能从 Minidump 中看出什么： 1. 楼主在玩魔兽 (或者你在写外挂搞魔兽) 2. Windbg 又出错了！ Windbg 告诉我们出错的 call stack 是： STACK_TEXT:  b694cbf4 b694cd18 1743cf2e b694cd64 0019e824 nt!RtlInitUnicodeString+0x1bWARNING: Frame IP not in any known module. Following frames may be wrong.b694cd30 8053e648 000026d8 00000000 00000000 0xb694cd18b694cd30 7c92e4f4 000026d8 00000000 ...

0. 楼主你早贴 minidump 就好了。当然，是 kernel dump 就更好了... 1. 楼主第一个帖子里的 dump 显然和实际的情况不符，Windbg 错误的栈定位到了： STACK_TEXT: ada3dd30 8053e648 00000a0c 00000000 00000000 nt!CcGetLsnForFileObject+0x4f ada3dd64 7c92e4f4 badb0d00 0352fc08 aedfad98 nt!PopRunDownSourceTargetList+0x10e WARNING: Frame IP not in any known module. Following frames may be wrong. 而 ...

兄台您不会真在 Windbg 里输入的 ''u ntdll...'' 吧 这里只是省略号，Raymond 老师想表示：随便你 U 什么ntdll 里的 Native API Stub...

kd> u CcGetLsnForFileObjectnt!CcGetLsnForFileObject:8086d7ac 8bff            mov     edi,edi8086d7ae 55              push    ebp8086d7af ...