Pequeño volcado de memoria de Windows 10. Cómo utilizar un volcado de memoria para determinar el controlador que causa el BSOD. Crear manualmente un volcado de memoria

Si aparece frente a ti la llamada pantalla azul de la muerte en Windows 10 y estás a punto de caer en un coma nervioso, recupérate e intenta solucionar el problema. Para empezar, vale la pena decir que este siniestro mensaje le indica una situación crítica. error del sistema. Además, no siempre es posible captar el momento y tener tiempo para leer el código de error cuando Windows cae en la pantalla azul de la muerte y el dispositivo se reinicia. Observemos de inmediato que existe una gran cantidad de soluciones a este problema, así como los motivos de la aparición de una pantalla azul. En este artículo intentaremos considerar las causas probables de la pantalla azul de la felicidad, así como soluciones posibles Problemas.

En la gran mayoría de los casos, la pantalla azul de la muerte indica el error BAD_POOL_CALLER - stop 0x000000c2. Para decirlo sin rodeos, es difícil diagnosticar este error, pero quizás intentemos utilizarlo como ejemplo para describir el algoritmo para sus próximas acciones.

Para diagnosticar correctamente el problema, primero debe analizar un archivo especial del sistema llamado minidump. La creación de dichos archivos se debe a un fallo del sistema; además, pueden informarnos qué provocó exactamente el fallo;

1. Para habilitar esta grabación automática de un pequeño volcado de memoria (deshabilitada por defecto), vaya a las propiedades de la computadora y vaya a la sección " Opciones adicionales sistemas" (esta inclusión se proporciona para todos los sistemas, no solo para Windows 10):

Como regla general, todos los archivos de minivolcado se guardan cuando aparece una pantalla azul de la muerte (BSOD) y puede encontrarlos en la carpeta C:\Windows\Minidump. Cabe destacar que el nombre del archivo contiene la fecha actual, es decir, cuando se creó, lo que hace que sea mucho más fácil identificar la fecha en que ocurrió el error, especialmente considerando que puede haber más de un archivo de este tipo.

Dos formas de descifrar un pequeño minivolcado de memoria

primera manera, consiste en utilizar la bastante popular utilidad BlueScreenView. Esta utilidad también puede ser una buena opción para analizar un volcado de memoria. El uso de esta utilidad será útil como forma de determinar conductor problemático.

Además, es especialmente notable por el hecho de que con su ayuda es posible ver la BSOD (pantalla azul de la muerte) como en un cuadro congelado, como estaba cuando el sistema falló. Muestra la hora y fecha de la falla, información sobre el controlador o módulo con versión y breve descripción. Además, la utilidad está disponible en muchos idiomas, incluido el ruso. Entonces, la utilidad BlueScreenView es ideal si necesita analizar rápidamente los volcados de memoria durante la BSOD.

Para segundo método necesita instalar herramientas de depuración para Windows y también descargar la utilidad bsdos_utility. A continuación, después de descomprimir el script bsdos_utility.cmd, debe moverlo a la unidad C:\ (puede crear una carpeta separada, pero vale la pena recordar que la línea de dirección de inicio del script será diferente a la de nuestro ejemplo). Luego en la línea de comando debes escribir:

C:\bsdos_utility.cmd

Después de mostrar una lista de todos los volcados de la lista C:\Windows\Minidump\, después de lo cual el script preguntará qué volcado debe analizarse. También puede seleccionar usted mismo el minivolcado requerido al ejecutar el script:

De manera similar es posible detectar masa errores de windows 10, lo que provocó el BSOD, así como programas .exe problemáticos que provocaron una pantalla azul.

Si ocurre un error crítico mientras trabaja con Windows, el usuario puede preguntarse: ¿cómo puedo acceder a un volcado de memoria de Windows? Un vertedero similar cuando configuración correcta La configuración del sistema ayudará a iniciar el sistema en caso de un fallo o la llamada pantalla azul de la muerte (BSOD).

Si tiene problemas al configurar un volcado de memoria o el sistema operativo no funciona correctamente después de esto, puede hacerlo.

Volcado de memoria de Windows 10

Un volcado de memoria es algo que se encuentra en toda la memoria de trabajo. Sistema operativo, procesador y sus núcleos. Incluyendo toda la información sobre el estado de los registros del procesador y otras estructuras de servicios.

¿Por qué necesitas un volcado de memoria de Windows 10?

Vertedero memoria de windows 10 es una especie de caja negra. En caso de fallo del sistema, la información almacenada en él ayudará a estudiar en detalle las causas del fallo del sistema. Este fallo suele detener por completo el sistema operativo. Por tanto, un volcado de memoria es la única y más fiable forma de obtener información sobre cualquier fallo en el sistema. Y recibirlo es una instantánea real de la información ubicada en el sistema.

Cuanto más exactamente refleje el contenido del volcado de memoria lo que estaba sucediendo en el sistema en el momento de la falla, más fácil será analizar la situación de emergencia y otras acciones para corregirlo.

Es sumamente importante obtener una copia actualizada en el momento exacto inmediatamente anterior al fallo. Y la única forma Hacer esto es crear un volcado de memoria de Windows 10.

Los motivos de los errores en Windows 10 son muy diversos:

– incompatibilidad de los dispositivos conectados;

- nuevo actualizaciones de windows 10;

– incompatibilidad de los controladores instalados;

– incompatibilidad de las aplicaciones instaladas;

- y otras razones.

¿Cómo configurar un volcado de memoria en Windows 10?

Para configurar un volcado de memoria de Windows 10, debe seguir estos pasos:

1. Haga clic derecho en Inicio de Windows 10. En el aparecido Menú de contexto seleccione "Sistema".

2. En la ventana "Sistema", en la esquina superior izquierda, seleccione "Configuración avanzada del sistema".

3. En la ventana "Propiedades del sistema", en el elemento "Arranque y recuperación", haga clic en "Opciones".

Aquí es donde configura un volcado de memoria de Windows 10.

Al configurar un volcado de memoria, no se pueden descuidar las siguientes recomendaciones:

– Marque la casilla "reemplazar el archivo de volcado existente". Teniendo en cuenta que los datos pueden pesar decenas o incluso cientos de gigabytes, esto resulta muy útil para los pequeños unidades de disco duro;

– Grabación de información de depuración. Esta función le permitirá seleccionar el tipo de archivo de volcado;

– Realizar un reinicio automático. Continuar el trabajo después de que se haya producido un error;

– Grabación de un evento en el registro del sistema. La información sobre la falla del sistema se agregará a los registros del sistema operativo.

Un volcado de memoria de Windows 10 es un método conveniente y realmente funcional para proteger los datos del sistema.

Conocer al enemigo “en persona” hará mucho más fácil encontrarlo y eliminarlo. Un volcado de memoria de Windows 10 le permitirá identificar la causa de una falla del sistema y ajustar acciones para eliminar el error, reduciendo significativamente el radio de esfuerzo y trabajo.

En el siguiente paso de seleccionar un componente para instalar ( Seleccione las funciones que desea instalar) marcamos solo lo que necesitamos - Herramientas de depuración para Windows y presione Instalar

Se descargará e instalará un conjunto de utilidades desde Internet en la carpeta especificada en la primera pantalla.

Una vez completada la instalación, búsquela en el menú Inicio o en la pantalla de inicio en el grupo de accesos directos. Kits de Windows utilidad WinDbg y ejecutarlo con derechos de administrador

Si por alguna razón no se pudo encontrar el acceso directo, puede ejecutar el archivo ejecutable desde el directorio de instalación: C:\Archivos de programa (x86)\Windows Kits\8.1\Debuggers\x64\windbg.exe

En el menú principal del programa. WinDbg Seleccionar articulos Archivo > Ruta del archivo de símbolos. En la ventana que se abre, inserte una línea que defina el directorio de caché de símbolos local y su fuente en línea:

Guardamos la configuración seleccionando elementos en el menú principal. Archivo > Guardar espacio de trabajo

Abra el archivo de volcado de memoria seleccionando en el menú Archivo > Abrir volcado de memoria...

Seleccione un archivo MEMORIA.DMP(ubicado en el directorio C:\Windows de forma predeterminada) y haga clic en Abierto

Aparecerá información sobre qué módulo ejecutable provocó que el sistema dejara de funcionar. Al hacer clic en un hipervínculo !analizar-v Puede obtener información más detallada sobre el estado del sistema en el momento en que se produjo el error de detención.

La misma información se puede obtener usando la línea de comando usando aproximadamente la siguiente secuencia de comandos:

En este ejemplo, toda la información sobre el análisis de volcados se descargará en formato legible en el archivo C:\Debuglog.txt.

Fuentes de información:

Cuando ocurre una falla crítica, el sistema operativo Windows falla y muestra una pantalla azul de la muerte (BSOD). Contenido memoria de acceso aleatorio y toda la información sobre el error que ocurre se escribe en el archivo de intercambio. La próxima vez arrancando Windows se crea un volcado de memoria c información de depuración basado en datos almacenados. Se crea una entrada de error crítico en el registro de eventos del sistema.

¡Atención! No se crea un volcado de memoria si el subsistema del disco falla o se produce un error crítico durante la etapa inicial del arranque de Windows.

Tipos de volcados de memoria de Windows

Usando el ejemplo de un quirófano actual sistemas windows 10 (Servidor de windows 2016) consideran los principales tipos de volcados de memoria que el sistema puede crear:

• Mini volcado de memoria(256 KB). Este tipo de archivo incluye una cantidad mínima de información. Solo contiene el mensaje de error BSOD, información sobre los controladores, los procesos que estaban activos en el momento del bloqueo y qué proceso o subproceso del kernel causó el bloqueo.
• Volcado de memoria del kernel. Normalmente es de tamaño pequeño: un tercio del tamaño de la memoria física. Un volcado de memoria del kernel es más detallado que un mini volcado. Contiene información sobre controladores y programas en modo kernel, incluye memoria asignada al kernel de Windows y la capa de abstracción de hardware (HAL), y memoria asignada a controladores y otros programas en modo kernel.
• Volcado de memoria completo. El de mayor tamaño y requiere una memoria equivalente a la RAM de su sistema más el 1 MB que requiere Windows para crear este archivo.
• Volcado de memoria automático. Corresponde a un volcado de memoria del kernel en términos de información. La única diferencia es la cantidad de espacio que utiliza para crear el archivo de volcado. Este tipo de archivo no existía en Windows 7. Se agregó en Windows 8.
• Volcado de memoria activa. Este tipo elimina elementos que no pueden determinar la causa de una falla del sistema. Esto se agregó a Windows 10 y es especialmente útil si usa máquina virtual, o si su sistema es un host Hyper-V.

¿Cómo habilitar el volcado de memoria en Windows?

Usando Win+Pausa, abra la ventana de configuración del sistema, seleccione " Configuración avanzada del sistema"(Configuración avanzada del sistema). En el " Además" (Avanzado), sección "" (Inicio y recuperación) haga clic en el botón " Opciones"(Ajustes). En la ventana que se abre, configure las acciones que se tomarán cuando el sistema falle. Comprobar el " Registrar eventos en el registro del sistema" (Escriba un evento en el registro del sistema), seleccione el tipo de volcado que se debe crear cuando el sistema falla. Si en la casilla de verificación " Reemplazar el archivo de volcado existente"(Sobrescribir cualquier archivo existente) marque la casilla, el archivo se sobrescribirá cada vez que haya una falla. Es mejor desmarcar esta casilla, así tendrás más información para analizar. También deshabilite Reiniciar automáticamente.

En la mayoría de los casos, un pequeño volcado de memoria será suficiente para analizar la causa del BSOD.

Ahora, cuando ocurre un BSOD, puede analizar el archivo de volcado y encontrar la causa del error. El minivolcado se guarda en la carpeta %systemroot%\minidump de forma predeterminada. Para analizar el archivo de volcado, recomiendo usar el programa. WinDBG(Depurador del kernel de Microsoft).

Instalación de WinDBG en Windows

Utilidad WinDBG incluido en " SDK de Windows 10"(SDK de Windows 10). .

El archivo se llama winsdksetup.exe, tamaño 1,3 MB.

Ejecute la instalación y elija qué desea hacer exactamente: instalar el paquete en esta computadora o descargarlo para instalarlo en otras computadoras. Instalemos el paquete en la computadora local.

Puede instalar el paquete completo, pero para instalar solo la herramienta de depuración, seleccione Herramientas de depuración para Windows.

Después de la instalación, los accesos directos de WinDBG se pueden encontrar en el menú de inicio.

Configurar la asociación de archivos .dmp con WinDBG

Para abrir archivos de volcado con un simple clic, asigne la extensión .dmp a la utilidad WinDBG.

1. Abierto línea de comando como administrador y ejecute los comandos para un sistema de 64 bits: cd C:\Program Files (x86)\Windows Kits\10\Debuggers\x64
   windbg.exe –IA
   para sistema de 32 bits:
   C:\Archivos de programa (x86)\Windows Kits\10\Debuggers\x86
   windbg.exe –IA
2. Como resultado, los tipos de archivos: .DMP, .HDMP, .MDMP, .KDMP, .WEW se asignarán a WinDBG.

Configurar un servidor de símbolos de depuración en WinDBG

Los símbolos de depuración (símbolos de depuración o archivos de símbolos) son bloques de datos generados durante la compilación del programa junto con Archivo ejecutable. Dichos bloques de datos contienen información sobre nombres de variables, funciones llamadas, bibliotecas, etc. Estos datos no son necesarios al ejecutar el programa, pero son útiles al depurarlo. Los componentes de Microsoft se compilan con símbolos distribuidos a través de Microsoft Symbol Server.

Configurar WinDBG para uso de microsoft Servidor de símbolos:

• Abra WinDBG;
• Ir al menú Archivo –> Ruta del archivo de símbolos;
• Escriba una línea que contenga la URL para descargar símbolos de depuración del sitio web de Microsoft y la carpeta para guardar el caché: SRV*E:\Sym_WinDBG*http://msdl.microsoft.com/download/symbols En el ejemplo, el caché se descarga a la carpeta E:\Sym_WinDBG, puede indicar cualquiera.
• No olvides guardar los cambios en el menú. Archivo–>Guardar espacio de trabajo;

WinDBG buscará símbolos en la carpeta local y, si no encuentra los símbolos necesarios en ella, los descargará automáticamente del sitio especificado. Si desea agregar su propia carpeta de símbolos, puede hacerlo así:

SRV*E:\Sym_WinDBG*http://msdl.microsoft.com/download/symbols;c:\Symbols

Si no tiene conexión a Internet, primero descargue el paquete de símbolos del recurso Paquetes de símbolos de Windows.

Análisis de un volcado de memoria en WinDBG

El depurador WinDBG abre el archivo de volcado y descarga los símbolos necesarios para la depuración desde una carpeta local o desde Internet. No puede utilizar WinDBG durante este proceso. En la parte inferior de la ventana (en la línea de comando del depurador) aparece el mensaje Depurado no conectado.

Los comandos se ingresan en la línea de comando ubicada en la parte inferior de la ventana.

Lo más importante a lo que hay que prestar atención es el código de error, que siempre se indica en hexadecimal y tiene el siguiente aspecto: 0xXXXXXXXXX(indicado en una de las opciones - STOP: , 02/07/2019 0008F, 0x8F). En nuestro ejemplo, el código de error es 0x139.

¡El depurador ofrece ejecutar el comando!analyze -v, simplemente coloque el mouse sobre el enlace y haga clic. ¿Para qué sirve este comando?

• Realiza un análisis preliminar de volcado de memoria y proporciona información detallada para iniciar el análisis.
• Este comando mostrará el código STOP y el nombre simbólico del error.
• Muestra la pila de llamadas de comando que provocaron el bloqueo.
• Además, aquí se muestran los fallos de dirección IP, proceso y registro.
• El equipo puede proporcionar recomendaciones preparadas para resolver el problema.

¡Los puntos principales a los que debe prestar atención al analizar después de ejecutar el comando! analizar –v (listado incompleto).

1: kd> !analizar -v

* *
* Análisis de verificación de errores *
* *
*****************************************************************************
Nombre simbólico del error STOP (BugCheck)
KERNEL_SECURITY_CHECK_FAILURE (139)
Descripción del error (Un componente del kernel ha dañado una estructura de datos crítica. Esta corrupción podría permitir que un atacante obtenga el control de esta máquina):

Un componente del kernel ha dañado una estructura de datos crítica. La corrupción podría permitir potencialmente que un usuario malintencionado obtenga el control de esta máquina.
Argumentos de error:

Argumentos:
Arg1: 0000000000000003, A LIST_ENTRY se ha dañado (es decir, se ha eliminado dos veces).
Arg2: ffffd0003a20d5d0, Dirección del marco trampa para la excepción que causó la verificación de errores
Arg3: ffffd0003a20d528, Dirección del registro de excepción para la excepción que causó la verificación de errores
Arg4: 0000000000000000, reservado
Detalles de depuración:
------------------

El contador muestra cuántas veces el sistema falló con un error similar:

CLIENTE_CRASH_COUNT: 1

DEFAULT_BUCKET_ID: FAIL_FAST_CORRUPT_LIST_ENTRY

Código de error DETENER en formato abreviado:

BUGCHECK_STR: 0x139

El proceso durante el cual ocurrió la falla (no necesariamente la causa del error, justo en el momento de la falla este proceso se estaba ejecutando en la memoria):

NOMBRE_PROCESO: sqlservr.exe

Descripción del código de error: el sistema ha detectado un desbordamiento del búfer de pila en esta aplicación, lo que podría permitir que un atacante obtenga el control de esta aplicación.

ERROR_CODE: (NTSTATUS) 0xc0000409: el sistema detectó un desbordamiento de un búfer basado en pila en esta aplicación. Esta saturación podría permitir que un usuario malintencionado obtenga el control de esta aplicación.
EXCEPTION_CODE: (NTSTATUS) 0xc0000409: el sistema detectó un desbordamiento de un búfer basado en pila en esta aplicación. Esta saturación podría permitir que un usuario malintencionado obtenga el control de esta aplicación.

Última llamada en la pila:

LAST_CONTROL_TRANSFER: de fffff8040117d6a9 a fffff8040116b0a0

Pila de llamadas en el momento del fallo:

PILA_TEXTO:
ffffd000`3a20d2a8 fffff804`0117d6a9: 00000000`00000139 00000000`00000003 ffffd000`3a20d5d0 ffffd000`3a20d528: nt!KeBugCheckEx
ffffd000`3a20d2b0 fffff804`0117da50: ffffe000`f3ab9080 ffffe000`fc37e001 ffffd000`3a20d5d0 fffff804`0116e2a2: nt!KiBugCheckDispatch+0x69
FFFFD000`3A20D3F0 FFFFF804`0117C150: 0000000000 000000 000000 00000000 000000 00000000 000000`00000000: ¡nt!
ffffd000`3a20d5d0 fffff804`01199482: ffffc000`701ba270 ffffc000`00000001 000000ea`73f68040 fffff804`000006f9: nt!KiRaiseSecurityCheckFailure+0x3d0
ffffd000`3a20d760 fffff804`014a455d: 00000000`00000001 ffffd000`3a20d941 ffffe000`fcacb000 ffffd000`3a20d951: ¡nt! ?? ::FNODOBFM::`cadena"+0x17252
ffffd000`3a20d8c0 fffff804`013a34ac: 00000000`00000004 00000000`00000000 ffffd000`3a20d9d8 ffffe001`0a34c600: nt!IopSynchronousServiceTail+0x379
ffffd000`3a20d990 fffff804`0117d313: ffffffff`fffffffe 00000000`00000000 00000000`00000000 000000eb`a0cf1380: nt!NtWriteFile+0x694
ffffd000`3a20da90 00007ffb`475307da: 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000: nt!KiSystemServiceCopyEnd+0x 13
000000ee`f25ed2b8 00000000`00000000: 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000: 0x00007ffb`4753 07da

La sección del código donde ocurrió el error:

SEGUIMIENTO_IP:
nt!KiFastFailDispatch+d0
fffff804`0117da50 c644242000 mov byte ptr, 0
FALLO_INSTR_CODE: 202444c6
SYMBOL_STACK_INDEX: 2
SYMBOL_NAME: nt!KiFastFailDispatch+d0
FOLLOWUP_NAME: propietario de la máquina

El nombre del módulo en la tabla de objetos del kernel. Si el analizador pudo detectar un controlador problemático, el nombre se muestra en los campos MODULE_NAME e IMAGE_NAME:

NOMBRE_MÓDULO:nt
NOMBRE_IMAGEN: ntkrnlmp.exe

1: kd> lmvm nt
Explorar la lista completa de módulos
Archivo de imagen de símbolo cargado: ntkrnlmp.exe
Archivo de imagen de memoria asignada: C:\ProgramData\dbg\sym\ntoskrnl.exe\5A9A2147787000\ntoskrnl.exe
Ruta de la imagen: ntkrnlmp.exe
Nombre de la imagen: ntkrnlmp.exe
Nombre interno: ntkrnlmp.exe
Nombre de archivo original: ntkrnlmp.exe
Versión del producto: 6.3.9600.18946
Versión del archivo: 6.3.9600.18946 (winblue_ltsb_escrow.180302-1800)

En el ejemplo dado, el análisis apuntó al archivo del núcleo ntkrnlmp.exe. Cuando el análisis de volcado de memoria apunta a un controlador del sistema (como win32k.sys) o un archivo del kernel (como en nuestro ejemplo ntkrnlmp.exe), lo más probable es que Este archivo no es la causa del problema. Muy a menudo resulta que el problema radica en el controlador del dispositivo, Configuración del BIOS o mal funcionamiento del equipo.

Si ve que el BSOD fue causado por un controlador de terceros, su nombre se indicará en los valores MODULE_NAME e IMAGE_NAME.

Por ejemplo:

Ruta de la imagen: \SystemRoot\system32\drivers\cmudaxp.sys
Nombre de la imagen: cmudaxp.sys

Abra las propiedades del archivo del controlador y verifique su versión. En la mayoría de los casos, el problema con los controladores se soluciona actualizándolos.

Cuando ocurre un error fatal en Windows 10 que el sistema no puede manejar, la computadora falla, genera un volcado de memoria y muestra información sobre la causa del error. Esta pantalla se llama pantalla azul de la muerte ( Pantalla azul de Muertos, BSOD). Pero a veces es necesario provocar BSOD específicamente para crear un volcado de memoria. Te diré cómo hacerlo.

Cómo forzar BSOD y crear un volcado de memoria en Windows 10

1. Abra el editor de registro: haga clic "Windows+R", marcar "regedit" y presione "DE ACUERDO".

2. Crear Copia de respaldo registro: Archivo > Exportar.

3. Navegue hasta las siguientes claves:

Para teclado USB:

HKLM\SYSTEM\CurrentControlSet\Services\kbdhid\Parameters

Para teclado PS\2:

HKLM\SYSTEM\CurrentControlSet\Services\i8042prt\Parameters

4. Cree un parámetro de tipo DWORD con nombre CrashOnCtrlDesplazamiento:

5. Ir a CrashOnCtrlDesplazamiento y cambiar los valores de 0 a 1.

6. Haga clic "DE ACUERDO" Y "Reiniciar el sistema" para aplicar los cambios.

Para deshabilitar la salida BSOD manual, puede cambiar la configuración
CrashOnCtrlDesplazamiento a 0 o simplemente borrarlo.

Cómo causar BSOD

Después de reiniciar, simplemente mantenga presionada la tecla Ctrl y presione Bloq Despl dos veces. Después de esto, el sistema entrará en una pantalla azul.

Nota. Para deshabilitar el reinicio automático durante BSOD, debe ir a la sucursal:

HKLM\SYSTEM\CurrentControlSet\Control\CrashControl

Y establecer el parámetro Reinicio automático valor 0.

¡Gracias por leer! Suscríbete a mi canal en Telegrama Y Yandex Zen . Sólo allí Últimas actualizaciones blog y noticias mundiales tecnologías de la información. Además, léeme en en las redes sociales: Facebook , Gorjeo , VK , DE ACUERDO.

¡Respeto al puesto! ¡Gracias por el trabajo!

En este momento hay una oportunidad de convertirse cartucho para apoyar el blog con una donación mensual, o utilizar