Windows crash debug环境构建

windows 调试器（windbg）可以用于调试内核模式和用户模式代码，分析故障转储文件，并在代码执行时检查 cpu 寄存器。这对于解决蓝屏、异常重启和关机后的 crash 问题非常有用。

Windbg 官方网站链接：

https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/debugger-download-tools

蓝屏 Bug 检查代码参考：

https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/bug-check-code-reference2

安装 WinDbg：

1. 快捷安装方法：在腾讯软件中心搜索 WinDbg，下载并安装安装包。链接为：

   https://pc.qq.com/search.html#!keyword=windbg

2. 通过 winsdksetup 安装，在线安装 WinDbg 模块。

分析 dump 文件：

SmartB2B行业电子商务

SmartB2B 是一款基于PHP、MySQL、Smarty的B2B行业电子商务网站管理系统，系统提供了供求模型、企业模型、产品模型、人才招聘模型、资讯模型等模块，适用于想在行业里取得领先地位的企业快速假设B2B网站，可以运行于Linux与Windows等多重服务器环境，安装方便，使用灵活。 系统使用当前流行的PHP语言开发，以MySQL为数据库，采用B/S架构，MVC模式开发。融入了模型化、模板

下载

1. 安装完成后，打开 WinDbg（X64），点击 "Open Crash Dump" 选择需要分析的 dump 文件。

2. 点击

   !analyze -v

   分析 dump 文件。

3. 根据关键字判断故障原因：

DRIVER_IRQL_NOT_LESS_OR_EQUAL 代表一般是软件驱动导致的故障。根据 MODULE_NAME 和 IMAGE_NAME 找到罪魁祸首是 termdd.sys 驱动文件。BUCKET_ID 字段显示当前故障所属的特定故障类别。BUCKET_ID: X64_0xD1_termdd!IcaChannelInputInternal+1f2

根据关键字可以进行匹配，符合 Windows 远程代码执行（RCE）漏洞 CVE-2019-0708 的特征。

参考文档：

https://www.anquanke.com/post/id/185508

For analysis of this file, run !analyze -v
kd> !analyze -v
********************************************************************************
**                        Bugcheck Analysis                                    **
********************************************************************************
DRIVER_IRQL_NOT_LESS_OR_EQUAL (d1)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If kernel debugger is available get stack backtrace.
Arguments:
Arg1: 0000000000000000, memory referenced
Arg2: 0000000000000002, IRQL
Arg3: 0000000000000000, value 0 = read operation, 1 = write operation
Arg4: fffff88002527006, address which referenced memory
Debugging Details:
------------------