使用Debugging Tools for Windows進行windows當機分析

使用Debugging Tools for Windows進行windows當機分析

最近電腦常會發生當機(藍屏),有時來不及看就重新開機了,嚐試重新安裝windows XP,但改善狀況有限,此時想起了之前看到的debug工具,Debugging Tools for Windows與Windows Symbol Packages。

依照之前的理解是可以進行windows系統核心的deubg(要透過另一台電腦),但在沒有二台電腦下,也沒有二台電腦所需的連線設備下,猜想此工具應可以進行dump檔的分析。

此時找到了微軟關於此debug工具的網頁,下載了Debugging Tools 與Symbol Packages,安裝時均使用設目錄安裝,開啟了windbg,bingo真的有需要的功能

1. 進到了WinDbg
2. File / Symble Files Path進行symble路徑指定,其實可以不需要像網頁所說的從網路下載,只要把路徑設到 C:\WINDOWS\Symbols 可以加快分析(ps 嚐試連上 http://msdl.microsoft.com/download/symbols 也無法連線)
3. File /Open Crash Dump 打開當機時windows dump下來的檔案進行分析, dump的資訊存放在 C:\WINDOWS\Minidump, 副檔名為dmp

此時分析後的資訊如下

Loading Kernel Symbols
..................................................................................
Loading User Symbols
Loading unloaded module list
.....
Unable to load image iP293x.sys, Win32 error 0n2
*** WARNING: Unable to verify timestamp for iP293x.sys
*** ERROR: Module load completed but symbols could not be loaded for iP293x.sys
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck 1000007E, {c0000005, a8653b8b, ba507950, ba50764c}

Probably caused by : iP293x.sys ( iP293x+14b8b )

MODULE_NAME: iP293x

FAULTING_MODULE: 804d8000 nt

DEBUG_FLR_IMAGE_TIMESTAMP: 480732d9

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - "0x%08lx"

FAULTING_IP:
iP293x+14b8b
a8653b8b 8b86c8000000 mov eax,dword ptr [esi+0C8h]

EXCEPTION_RECORD: ba507950 -- (.exr 0xffffffffba507950)
ExceptionAddress: a8653b8b (iP293x+0x00014b8b)
ExceptionCode: c0000005 (Access violation)
ExceptionFlags: 00000000
NumberParameters: 2
Parameter[0]: 00000000
Parameter[1]: 000000c6
Attempt to read from address 000000c6

所列出的資訊還蠻詳細的,可以得知發生錯誤應是在iP293x.sys ，查看了檔案系統資訊"iPassion Serial Bus Camera Driver",猜想應是webcam的驅動程式, 當下重新安裝了相關的驅動程式,下回若還是當機的話,只能回Yahoo拍賣詢問一下賣家是否有更版了!