Treiberproblem, wie mache ich eine Crashdump Analyse? Experten gefragt!

[Pipeline 11]

Moin!

 

Ich habe hier einen Server (w2k3 R2 SP2) der folgenden Fehler hatte:

 

0x000000c5 (0x00000004, 0xd0000002, 0x00000001, 0x8089bce3)

 

Anschliessend habe ich den minidump mal im Windows Debugger analysiert.

Nur leider kann ich mit der Ausgabe nicht viel anfangen:

 

DRIVER_CORRUPTED_EXPOOL (c5)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is
caused by drivers that have corrupted the system pool.  Run the driver
verifier against any new (or suspect) drivers, and if that doesn't turn up
the culprit, then use gflags to enable special pool.
Arguments:
Arg1: 00000004, memory referenced
Arg2: d0000002, IRQL
Arg3: 00000001, value 0 = read operation, 1 = write operation
Arg4: 8089bce3, address which referenced memory

Debugging Details:
------------------


BUGCHECK_STR:  0xC5_D0000002

CURRENT_IRQL:  2

FAULTING_IP: 
nt!ExAllocatePoolWithTag+83f
8089bce3 897004           mov     [eax+0x4],esi

CUSTOMER_CRASH_COUNT:  1

DEFAULT_BUCKET_ID:  DRIVER_FAULT_SERVER_MINIDUMP

LAST_CONTROL_TRANSFER:  from 8089bce3 to 80836de5

STACK_TEXT:  
b86c9a58 8089bce3 badb0d00 0000004e 80826fb1 nt!KiTrap0E+0x2a7
b86c9b08 80928feb 00000000 00000000 e5726854 nt!ExAllocatePoolWithTag+0x83f
b86c9b2c 80929419 86baeca0 86c64e01 00000000 nt!ObpAllocateObject+0xc9
b86c9b60 8092a88f 86c64e01 89b9aad0 00000000 nt!ObCreateObject+0x129
b86c9cc8 8093bee0 01cfe770 001f03ff 00000000 nt!PspCreateThread+0xb9
b86c9d3c 80833bdf 01cfe770 001f03ff 00000000 nt!NtCreateThread+0xf9
b86c9d3c 7c8285ec 01cfe770 001f03ff 00000000 nt!KiFastCallEntry+0xfc
WARNING: Frame IP not in any known module. Following frames may be wrong.
01cfeb1c 00000000 00000000 00000000 00000000 0x7c8285ec


STACK_COMMAND:  .bugcheck ; kb

FOLLOWUP_IP: 
nt!ExAllocatePoolWithTag+83f
8089bce3 897004           mov     [eax+0x4],esi

FAULTING_SOURCE_CODE:  


SYMBOL_STACK_INDEX:  1

FOLLOWUP_NAME:  MachineOwner

SYMBOL_NAME:  nt!ExAllocatePoolWithTag+83f

MODULE_NAME:  nt

IMAGE_NAME:  ntkrnlmp.exe

DEBUG_FLR_IMAGE_TIMESTAMP:  45ec14ca

FAILURE_BUCKET_ID:  0xC5_D0000002_nt!ExAllocatePoolWithTag+83f

BUCKET_ID:  0xC5_D0000002_nt!ExAllocatePoolWithTag+83f

 

Wie finde ich nun heraus, welcher Treiber hier Ärger macht?

Mit dem Driver Verifier Manager (verifier.exe) konnte ich nichts herausfinden, da ich nicht wirklich weiß wie ich damit prüfen muss.

 

Kann mir hier jemand einen Tipp geben?

[marka 584]

Suche mal hier im Forum nach "Windows debugging Tools"

Das Thema wurde schon mehrfach behandelt.

Sollten dann noch Fragen offen bleiben, helfen wir gerne weiter...

[blub 115]

die Hilfe in dem Windowsdebugger ist sehr ausführlich.

Als Literatur gibt es das Buch "inside Windows 2003" von Mark Russinovich, in dem ziemlich tief in das Thema "debugging" eingestiegen wird. Für mich oft zu tief, da Kenntnisse von APIs und Systemaufrufen vorausgesetzt werden

 

cu

blub

[Pipeline 11]

ja, genau das ist mein Problem!

Mir gehen die Analyse Ausgaben zu sehr in die Tiefe, ich habe da einfach nicht genug Ahnung von!

[Gadget 37]

Hallo Pipeline,

 

grundsätzlich zum Debugging würde ich dir diese kleine Anleitung empfehlen:

The Lazy Admin : Debugging STOP Errors With WinDBG

 

Und um deinem Problem auf den Grund zu gehen würde ich folgendes wie im Artikel aufgeführt ausführen:

 

As you can see, !analyze –v shows that this was a manually initiated crash and the arguments issued for the crash dump. It also shows you what was loaded into the stack at the time of crash under the Stack Text field and then gives you the faulting source code closer to the bottom pointing to the i8042prt.sys driver.

 

That one simple command often points you into the right direction as to what is causing the crash. Then you can go ahead and troubleshoot that specific driver or application and get the problem corrected. If you wanted more information on the driver that is causing the crash. You could issue the command lmv m drivername and it will give you info on that particular driver such as its location, its date (which can be helpful in determining if it’s an old driver that needs updating).

 

Weiterhin solltest du alle verdächtigen System-Treiber (Raid-Controller, Netzwerk-Karte, Virenscanner, Firewall...etc...) mittels Verifier wie im KB beschrieben:

 

Verwendung der Treiberüberprüfung zur Behandlung von Treiberproblemen in Windows

 

Untersuchen.

 

Falls du selber nicht weiter kommst würde ich dir empfehlen nen Pro Call für 299 € aufzumachen, falls die Kiste wichtig ist, anderfalls plätten u. neu installieren mit den aktuellsten Firmware u. Treiberupdates...

 

PS: Hier noch der KB zu deinem Stop Error, der empfiehlt auch den Einsatz des Driver Verifiers:

Error Message: STOP 0x000000C5 DRIVER_CORRUPTED_EXPOOL

 

LG Gadget