C:\>Windows Internals - L'équipe Française de Support Windows_ : NT Debugginghttp://blogs.technet.com/windowsinternals/archive/tags/NT+Debugging/default.aspxTags: NT Debuggingen-USCommunityServer 2.1 SP1 (Build: 61025.2)Analyse d’un stop 7Fhttp://blogs.technet.com/windowsinternals/archive/2008/12/31/analyse-d-un-stop-7f.aspxWed, 31 Dec 2008 16:25:00 GMTd5e57398-b9ef-4490-9955-07cbb4e4a80d:3175025Mouniar0http://blogs.technet.com/windowsinternals/comments/3175025.aspxhttp://blogs.technet.com/windowsinternals/commentrss.aspx?PostID=3175025<P>Nous allons analyser ensemble un dump relatif à des problème de crash réguliers sur un serveur de fichiers.</P> <P>D’abord, regardons sur quel type de serveur le crash s’est produit : </P> <P>0: kd&gt; vertarget</P> <P>Windows Server 2003 Kernel Version 3790 (Service Pack 1) MP (4 procs) Free x86 compatible</P> <P>Product: Server, suite: TerminalServer SingleUserTS</P> <P>Built by: 3790.srv03_sp1_rtm.050324-1447</P> <P>Kernel base = 0x80800000 PsLoadedModuleList = 0x808af988</P> <P>Debug session time: Tue Oct 21 02:22:03.749 2008 (GMT+2)</P> <P><STRONG><FONT color=#ff0000>System Uptime: 6 days 7:23:43.156</FONT></STRONG></P> <P><STRONG><FONT color=#ff0000></FONT></STRONG></P> <P>Il s’agit donc d’un serveur 2003 en SP1, un premier plan d’action serait de le mettre à jour en SP2 :-)</P> <P>D’autre part, le serveur semble avoir tourné pendant 6 jours avant la génération du dump. </P> <P>Aussi, chaque crash ou stop est associé un code qui définie le type de problème rencontré, examinons le stop en question :</P> <P>0: kd&gt; .bugcheck</P> <P>Bugcheck code 0000007F</P> <P>Arguments 00000008 80042000 00000000 00000000</P> <P>C’est un stop 7F avec le paramètre&nbsp; 00000008 ….intéressant !!</P> <P>Les documents techniques qui détaillent ce type de stop, font référence à un problème de stack overflow :</P> <P><EM>“Bug Check 0x7F: UNEXPECTED_KERNEL_MODE_TRAP</EM></P> <P><EM>The UNEXPECTED_KERNEL_MODE_TRAP bug check has a value of 0x0000007F. This bug check indicates that the Intel CPU generated a trap and the kernel failed to catch this trap.</EM></P> <P><EM>This trap could be a bound trap (a trap the kernel is not permitted to catch) or a double fault (a fault that occurred while processing an earlier fault, which always results in a system failure).</EM></P> <BLOCKQUOTE> <P><EM>0x00000008, or Double Fault, indicates that an exception occurs during a call to the handler for a prior exception. Typically, the two exceptions are handled serially. However, there are several exceptions that cannot be handled serially, and in this situation the processor signals a double fault. There are two common causes of a double fault: <BR>A kernel stack overflow Or A hardware problem”</EM> </P></BLOCKQUOTE> <P>Ok, nous savons maintenant qu’il peut s’agir d’un stack overflow ..il va falloir se mettre sur le thread qui a causé le crash pour en savoir plus :</P> <P>0: kd&gt; .tss 0x28</P> <P>eax=854b8300 ebx=854b8310 ecx=00000003 edx=89756000 esi=89fc3f30 edi=89756000</P> <P>eip=bae30bf7 esp=f78f7f88 ebp=f78f81b8 iopl=0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; nv up ei ng nz na pe nc</P> <P>cs=0008&nbsp; ss=0010&nbsp; ds=0023&nbsp; es=0023&nbsp; fs=0030&nbsp; gs=0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; efl=00010286</P> <P>q57xp32+0x9bf7:</P> <P>bae30bf7 53&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp; ebx</P> <P>0: kd&gt; .thread</P> <P>Implicit thread is now 8ab868d0</P> <P>0: kd&gt; !thread</P> <P>THREAD 8ab868d0&nbsp; Cid 0004.0048&nbsp; Teb: 00000000 Win32Thread: 00000000 RUNNING on processor 0</P> <P>IRP List:</P> <P>&nbsp;&nbsp;&nbsp; 859c0370: (0006,0220) Flags: 00000010&nbsp; Mdl: 00000000</P> <P>&nbsp;&nbsp;&nbsp; 85391008: (0006,0220) Flags: 00000884&nbsp; Mdl: 00000000</P> <P>&nbsp;&nbsp;&nbsp; 8a02af68: (0006,0094) Flags: 00000000&nbsp; Mdl: 00000000</P> <P>Not impersonating</P> <P>DeviceMap&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; d6402818</P> <P>Owning Process&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8ab8a238&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Image:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; System</P> <P>Wait Start TickCount&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 34881482&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Ticks: 0</P> <P>Context Switch Count&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 21126271&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </P> <P>UserTime&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 00:00:00.000</P> <P>KernelTime&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 00:03:14.531</P> <P>Start Address nt!ExpWorkerThread (0x8083f671)</P> <P>Stack <FONT color=#ff0000>Init <B>f78fb000</B></FONT> Current f78f9150 Base f78fb000 <FONT color=#ff0000>Limit <B>f78f8000</B></FONT> Call 0</P> <P>Priority 12 BasePriority 12 PriorityDecrement 0</P> <P>ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </P> <P>00000000 bae30bf7 00000000 00000000 00000000 nt!_KiTrap08+0x75 (FPO: TSS 28:0) </P> <P>WARNING: Stack unwind information not available. Following frames may be wrong.</P> <P><B><FONT color=#ff0000>f78f81b8</FONT></B> bae29c53 89756000 89fc3f30 8975bf54 q57xp32+0x9bf7</P> <P>f78f8200 bae29edb 854b8310 f78f8278 f78f8248 q57xp32+0x2c53</P> <P>f78f8210 bae2a199 02756000 878032e0 897ef950 q57xp32+0x2edb</P> <P>f78f8248 f76ee804 00000001 f78f8278 00000000 q57xp32+0x3199</P> <P>f78f8260 80a7a24f 897ef850 00000000 86e62a20 NDIS!ndisMProcessSGList+0x90 </P> <P>f78f828c f76ee6fe 86e62a20 897ef850 878032c0 hal!HalBuildScatterGatherList+0x1c7 </P> <P>f78f82e4 f76d249d 8a3d5008 854b8310 862fe230 NDIS!ndisMAllocSGList+0xd9 </P> <P>f78f8300 ba782f37 89e90290 854b8310 89d16c48 NDIS!ndisMSendX+0x1a0 </P> <P>f78f8328 ba78223a 8a3d5008 854b8310 8638eae8 tcpip!IPRcvComplete+0x12d3</P> <P>f78f8350 ba782622 8638ea02 f78f8402 00000001 tcpip!IPRcvComplete+0x5d6</P> <P>f78f848c ba783c01 ba7bbbb8 862fe2a4 862fe230 tcpip!IPRcvComplete+0x9be</P> <P>f78f84fc ba783da0 f3b3f555 00000002 875d30c0 tcpip!IPRcvComplete+0x1f9d</P> <P>f78f8524 ba784478 00000001 00000000 00000002 tcpip!IPRcvComplete+0x213c</P> <P>f78f8558 bab209ac 875d3008 89443364 89d2d540 tcpip!IPRcvComplete+0x2814</P> <P>f78f857c bab29a46 89e8e000 89429058 89e8e000 msiscsi+0x99ac</P> <P>f78f8624 bab2c101 01429058 84f25502 84f2552c msiscsi+0x12a46</P> <P>f78f8644 bab1a435 808a5180 84f25502 00000000 msiscsi+0x15101</P> <P>f78f866c bab036ca 8a02b65c 89e8e000 f78f8698 msiscsi+0x3435</P> <P>f78f867c bab03afc 897c31a0 84f2552c 884b7d28 iscsiprt!RaCallMiniportStartIo+0x1e </P> <P>f78f8698 bab0c182 84f2552c 870a48a0 89d17e18 iscsiprt!RaidAdapterPostScatterGatherExecute+0x5e </P> <P>f78f86b8 bab07823 00000000 00000001 00000000 iscsiprt!RaUnitStartIo+0xc4 </P> <P>f78f86d8 bab0b575 89d17e18 014b7d28 00000000 iscsiprt!RaidStartIoPacket+0x49 </P> <P>f78f86fc bab0c8a6 89d17d30 884b7d28 84c6d270 iscsiprt!RaidUnitSubmitRequest+0x63 </P> <P>f78f8718 bab06844 89d17d30 884b7d28 f78f873c iscsiprt!RaUnitScsiIrp+0x92 </P> <P>f78f8728 8083f9d0 89d17c78 884b7d28 89e8caa0 iscsiprt!RaDriverScsiIrp+0x2a </P> <P>f78f873c f7409440 884b7d28 884b7dfc 884b7d28 nt!IofCallDriver+0x45 </P> <P>f78f8764 f74094e0 89cfba88 884b7d28 884b7d28 mpio!MPIOReadWrite+0x19e </P> <P>f78f8830 f7409b34 89cfba88 84c6d1f0 884b7dd8 mpio!MPIOPdoHandleRequest+0x76 </P> <P>f78f8848 f7408945 89cfbb40 884b7d28 884b7d28 mpio!MPIOPdoInternalDeviceControl+0x3c </P> <P>f78f8870 f740916f 89cfba88 89cfbd78 01000000 mpio!MPIOPdoCommonDeviceControl+0x1fb </P> <P>f78f8890 f74062ef 89cfba88 884b7d28 f78f88b4 mpio!MPIOPdoDispatch+0x8f </P> <P>f78f88a0 8083f9d0 89cfba88 884b7d28 84f25480 mpio!MPIOGlobalDispatch+0x19 </P> <P>f78f88b4 f7139a20 84f25480 68d0e000 f78f88f8 nt!IofCallDriver+0x45 </P> <P>f78f88c4 f7139635 84f25480 89419b70 85a52e2c CLASSPNP!SubmitTransferPacket+0xbb </P> <P>f78f88f8 f7139712 00000000 00001000 85a52e50 CLASSPNP!ServiceTransferRequest+0x1e4 </P> <P>f78f891c 8083f9d0 89419ab8 00000000 8ab96b38 CLASSPNP!ClassReadWrite+0x159 </P> <P>f78f8930 f74d80cf 8756c3a8 85a52e50 f78f8954 nt!IofCallDriver+0x45 </P> <P>f78f8940 8083f9d0 893e7780 85a52cc0 85a52cc0 PartMgr+0x10cf</P> <P>f78f8954 f73b4802 890bd008 8756c3a8 89595d08 nt!IofCallDriver+0x45 </P> <P>La, il n’y a pas de doute, nous somme bien en présence d’un beau <B>“stack overflow”.</B></P> <P>En effet, chaque thread a le droit à un espace limité pour gérer la stack.</P> <P>Ici la limite est à f78fb000&nbsp; (on commence la stack à à l’adresse f78f8000 ) : Stack Init f78fb000 Current f78f9150 Base f78fb000 Limit f78f8000</P> <P>Le dernier appel a été fait à l’adresse f78f81b8 ;&nbsp; par conséquent l’appel d’après aurait utiliser de la mémoire et dépasser ainsi la limite du f78f8000 d’où le stack overflow et le crash.</P> <P>Voici les détails de consommation de la stack au moment du Stop:</P> <P>&nbsp; Module&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Stack Usage Percentage</P> <P>fltMgr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 280&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2</P> <P>volsnap&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 584&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5</P> <P><FONT color=#ff0000>Ntfs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 4844&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 42</FONT></P> <P>iscsiprt&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 188&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2</P> <P>NDIS&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 140&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1</P> <P>msiscsi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 276&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2</P> <P>q57xp32&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 144&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1</P> <P>CLASSPNP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 104&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1</P> <P>mfetdik&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 144&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1</P> <P>hal&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 44&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0</P> <P>dmio&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 328&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3</P> <P>tcpip&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 600&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5</P> <P>mpio&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 356&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3</P> <P>PartMgr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 16&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0</P> <P>mfehidk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 660&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 6</P> <P>nt&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1988&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 17</P> <P>df2k&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 848&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 7</P> <P>Nous constatons que Ntfs utilise 42% de celle-ci ce qui est beaucoup. Maintenant si l’on regarde attentivement la stack nous allons constater que c’est le driver df2k.sys qui est réentrant dans le file system.</P> <P>0: kd&gt; kv 100</P> <P>ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </P> <P>00000000 bae30bf7 00000000 00000000 00000000 nt!_KiTrap08+0x75 </P> <P>WARNING: Stack unwind information not available. Following frames may be wrong.</P> <P><B><FONT color=#ff0000>f78f81b8</FONT></B> bae29c53 89756000 89fc3f30 8975bf54 q57xp32+0x9bf7</P> <P>f78f8200 bae29edb 854b8310 f78f8278 f78f8248 q57xp32+0x2c53</P> <P>f78f8210 bae2a199 02756000 878032e0 897ef950 q57xp32+0x2edb</P> <P>f78f8248 f76ee804 00000001 f78f8278 00000000 q57xp32+0x3199</P> <P>f78f8260 80a7a24f 897ef850 00000000 86e62a20 NDIS!ndisMProcessSGList+0x90 </P> <P>f78f828c f76ee6fe 86e62a20 897ef850 878032c0 hal!HalBuildScatterGatherList+0x1c7 </P> <P>f78f82e4 f76d249d 8a3d5008 854b8310 862fe230 NDIS!ndisMAllocSGList+0xd9 </P> <P>f78f8300 ba782f37 89e90290 854b8310 89d16c48 NDIS!ndisMSendX+0x1a0 </P> <P>f78f8328 ba78223a 8a3d5008 854b8310 8638eae8 tcpip!IPRcvComplete+0x12d3</P> <P>f78f8350 ba782622 8638ea02 f78f8402 00000001 tcpip!IPRcvComplete+0x5d6</P> <P>f78f848c ba783c01 ba7bbbb8 862fe2a4 862fe230 tcpip!IPRcvComplete+0x9be</P> <P>f78f84fc ba783da0 f3b3f555 00000002 875d30c0 tcpip!IPRcvComplete+0x1f9d</P> <P>f78f8524 ba784478 00000001 00000000 00000002 tcpip!IPRcvComplete+0x213c</P> <P>f78f8558 bab209ac 875d3008 89443364 89d2d540 tcpip!IPRcvComplete+0x2814</P> <P>f78f857c bab29a46 89e8e000 89429058 89e8e000 msiscsi+0x99ac</P> <P>f78f8624 bab2c101 01429058 84f25502 84f2552c msiscsi+0x12a46</P> <P>f78f8644 bab1a435 808a5180 84f25502 00000000 msiscsi+0x15101</P> <P>f78f866c bab036ca 8a02b65c 89e8e000 f78f8698 msiscsi+0x3435</P> <P>f78f867c bab03afc 897c31a0 84f2552c 884b7d28 iscsiprt!RaCallMiniportStartIo+0x1e </P> <P>f78f8698 bab0c182 84f2552c 870a48a0 89d17e18 iscsiprt!RaidAdapterPostScatterGatherExecute+0x5e </P> <P>f78f86b8 bab07823 00000000 00000001 00000000 iscsiprt!RaUnitStartIo+0xc4 </P> <P>f78f86d8 bab0b575 89d17e18 014b7d28 00000000 iscsiprt!RaidStartIoPacket+0x49 </P> <P>f78f86fc bab0c8a6 89d17d30 884b7d28 84c6d270 iscsiprt!RaidUnitSubmitRequest+0x63 </P> <P>f78f8718 bab06844 89d17d30 884b7d28 f78f873c iscsiprt!RaUnitScsiIrp+0x92 </P> <P>f78f8728 8083f9d0 89d17c78 884b7d28 89e8caa0 iscsiprt!RaDriverScsiIrp+0x2a </P> <P>f78f873c f7409440 884b7d28 884b7dfc 884b7d28 nt!IofCallDriver+0x45 </P> <P>f78f8764 f74094e0 89cfba88 884b7d28 884b7d28 mpio!MPIOReadWrite+0x19e </P> <P>f78f8830 f7409b34 89cfba88 84c6d1f0 884b7dd8 mpio!MPIOPdoHandleRequest+0x76 </P> <P>f78f8848 f7408945 89cfbb40 884b7d28 884b7d28 mpio!MPIOPdoInternalDeviceControl+0x3c </P> <P>f78f8870 f740916f 89cfba88 89cfbd78 01000000 mpio!MPIOPdoCommonDeviceControl+0x1fb </P> <P>f78f8890 f74062ef 89cfba88 884b7d28 f78f88b4 mpio!MPIOPdoDispatch+0x8f </P> <P>f78f88a0 8083f9d0 89cfba88 884b7d28 84f25480 mpio!MPIOGlobalDispatch+0x19 </P> <P>f78f88b4 f7139a20 84f25480 68d0e000 f78f88f8 nt!IofCallDriver+0x45 </P> <P>f78f88c4 f7139635 84f25480 89419b70 85a52e2c CLASSPNP!SubmitTransferPacket+0xbb </P> <P>f78f88f8 f7139712 00000000 00001000 85a52e50 CLASSPNP!ServiceTransferRequest+0x1e4 </P> <P>f78f891c 8083f9d0 89419ab8 00000000 8ab96b38 CLASSPNP!ClassReadWrite+0x159 </P> <P>f78f8930 f74d80cf 8756c3a8 85a52e50 f78f8954 nt!IofCallDriver+0x45 </P> <P>f78f8940 8083f9d0 893e7780 85a52cc0 85a52cc0 PartMgr+0x10cf</P> <P>f78f8954 f73b4802 890bd008 8756c3a8 89595d08 nt!IofCallDriver+0x45 </P> <P>f78f899c f73cdfa3 8756c3a8 010bd008 04000000 dmio!voldiskiostart+0x482 </P> <P>f78f89ec f73bf8dc 8756c3a8 f78f8a44 f78f8a38 dmio!vol_subdisksio_start+0x107 </P> <P>f78f8a5c f73b5e2c 8712c408 00000001 00000001 dmio!volkiostart+0x32c </P> <P>f78f8a88 f73b85e2 88dc1a60 85a52cc0 8ab50418 dmio!volrdwr+0xa0 </P> <P>f78f8a9c 8083f9d0 88dc1a60 85a52cc0 85a52e98 dmio!volread+0x58 </P> <P>f78f8ab0 f73899c4 8ab2d248 88db7af0 88d246d0 nt!IofCallDriver+0x45 </P> <P>f78f8ac8 8083f9d0 88d246d0 85a52cc0 85a52cc0 volsnap+0x19c4</P> <P>f78f8adc f70d9881 88db7a38 88db7af0 88ba5c98 nt!IofCallDriver+0x45 </P> <P><B><FONT color=#ff0000>f78f8b34 f70dae17 88db7a38 85a52cc0 85a52cc0 df2k+0x6881</FONT></B></P> <P><B><FONT color=#ff0000>f78f8b5c f701d0ce f78f8e40 f78f8d40 f701c702 df2k+0x7e17</FONT></B></P> <P>f78f8b68 f701c702 f78f8e40 88db7a38 9c09a000 Ntfs!NtfsSingleAsync+0x91 </P> <P>f78f8d40 f701a75e f78f8e40 85a52cc0 88ba5c98 Ntfs!NtfsNonCachedIo+0x2db </P> <P>f78f8e2c f701d8de f78f8e40 85a52cc0 00000001 Ntfs!NtfsCommonRead+0xaf5 </P> <P>f78f8fd8 8083f9d0 88be6718 85a52cc0 85a52cc0 Ntfs!NtfsFsdRead+0x113 </P> <P>f78f8fec f7117b43 88f2aae8 85a52cc0 88eeb008 nt!IofCallDriver+0x45 </P> <P>f78f9010 f7117d03 f78f9030 88f2aae8 00000000 fltMgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x20b </P> <P>f78f9048 8083f9d0 88f2aae8 85a52cc0 88db7af0 fltMgr!FltpDispatch+0x11f </P> <P>f78f905c f70d8ab1 89944588 89944640 88fcd5c0 nt!IofCallDriver+0x45 </P> <P><B><FONT color=#ff0000>f78f9100 f70dae17 89944588 85a52cc0 85a52ebc df2k+0x5ab1</FONT></B></P> <P><B><FONT color=#ff0000>f78f9128 ba9efa40 88d1da08 89705218 88bed008 df2k+0x7e17</FONT></B></P> <P>f78f913c 8083f9d0 88aacf10 85a52cc0 85a52cc0 SYMEVENT!SYMEvent_AllocVMData+0x5f00</P> <P>f78f9150 f7117d36 0010e000 8a0d1768 00000000 nt!IofCallDriver+0x45 </P> <P>f78f917c 8083f9d0 88d1da08 85a52cc0 85a52cc0 fltMgr!FltpDispatch+0x152 </P> <P>f78f9190 8082f0de 83e86308 8ab868d0 83e862f8 nt!IofCallDriver+0x45 </P> <P>f78f91a8 8082f17c 88f04f0c 83e86330 83e86310 nt!IoPageRead+0x109 </P> <P>f78f922c 80849ce5 00000001 c16ce000 c0305b38 nt!MiDispatchFault+0xd2a </P> <P>f78f9288 8082fd4f 00000000 c16ce000 00000000 nt!MmAccessFault+0x64a </P> <P>f78f92b8 80845b53 c16ce000 00000000 f78f93e4 nt!MmCheckCachedPageState+0x48e </P> <P>f78f9300 80845d5a 88ba5b60 f78f9340 00001000 nt!CcMapAndRead+0x93 </P> <P>f78f9394 8092f599 88f04f90 f78f93d4 00001000 nt!CcPinFileData+0x24a </P> <P>f78f9408 f7054d25 88f04f90 f78f9440 00001000 nt!CcPinRead+0xc4 </P> <P>f78f9430 f704842b 84f7a168 88ba5c98 0010e000 Ntfs!NtfsPinStream+0x76 </P> <P>f78f945c f7049751 84f7a168 88be67f8 00870000 Ntfs!NtfsMapOrPinPageInBitmap+0x9d </P> <P>f78f94d8 f704851f 84f7a168 88be67f8 0087312e Ntfs!NtfsAllocateBitmapRun+0x4b </P> <P>f78f9614 f7040136 84f7a168 88be67f8 87342a00 Ntfs!NtfsAllocateClusters+0x9fd </P> <P>f78f96d4 f7047e53 84f7a168 87342a00 00000020 Ntfs!NtfsAllocateAttribute+0x156 </P> <P>f78f9774 f704835c 84f7a168 d6650468 00000020 Ntfs!NtfsCreateNonresidentWithValue+0xde </P> <P>f78f9874 f706e627 84f7a168 d6650468 d1911898 Ntfs!NtfsConvertToNonresident+0x2ec </P> <P>f78f99cc f7076cc4 84f7a168 d6650468 00000240 Ntfs!NtfsChangeAttributeValue+0x467 </P> <P>f78f9ab8 f7071d04 84f7a168 d6650468 000fe6ad Ntfs!NtfsAddToAttributeList+0x177 </P> <P>f78f9ca0 f7047a50 84f7a168 d6650530 f78f9cd0 Ntfs!NtfsAddAttributeAllocation+0xf71 </P> <P>f78f9d64 f70845ef 84f7a168 8523cc68 d6650530 Ntfs!NtfsAddAllocation+0x397 </P> <P>f78f9e74 f7041c94 84f7a168 8523cc68 859c0370 Ntfs!NtfsSetAllocationInfo+0x3dd </P> <P>f78f9ee0 f701d2fb 84f7a168 859c0370 00000000 Ntfs!NtfsCommonSetInformation+0x48c </P> <P>f78f9f48 8083f9d0 88be6718 859c0370 859c0370 Ntfs!NtfsFsdSetInformation+0xa3 </P> <P>f78f9f5c f7117b43 88f2aae8 859c0370 88eeb008 nt!IofCallDriver+0x45 </P> <P>f78f9f80 f7117d03 f78f9fa0 88f2aae8 00000000 fltMgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x20b </P> <P>f78f9fb8 8083f9d0 88f2aae8 859c0370 88db7af0 fltMgr!FltpDispatch+0x11f </P> <P>f78f9fcc f70d8ab1 89944588 89944640 f78fa0e8 nt!IofCallDriver+0x45 </P> <P><B><FONT color=#ff0000>f78fa070 f70dae17 89944588 859c0370 859c056c df2k+0x5ab1</FONT></B></P> <P><B><FONT color=#ff0000>f78fa098 ba9ef7b1 859c056c 859c0590 f78fa0e8 df2k+0x7e17</FONT></B></P> <P>f78fa0b0 ba9f8d68 89944588 00000000 f78fa0e8 SYMEVENT!SYMEvent_AllocVMData+0x5c71</P> <P>f78fa0cc ba9ef91b f78fa0e8 8082b0b9 ba9ef9e3 SYMEVENT!EventObjectCreate+0xba8</P> <P>f78fa10c 8083f9d0 88aacf10 859c0370 859c0370 SYMEVENT!SYMEvent_AllocVMData+0x5ddb</P> <P>f78fa120 f7117b43 88d1da08 859c0370 88bed008 nt!IofCallDriver+0x45 </P> <P>f78fa144 f7117d03 f78fa164 88d1da08 00000000 fltMgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x20b </P> <P>f78fa17c 8083f9d0 88d1da08 859c0370 859c0370 fltMgr!FltpDispatch+0x11f </P> <P>f78fa190 8098911f 85391008 84c497a0 f78fa434 nt!IofCallDriver+0x45 </P> <P>f78fa1c8 f707e07c 0123cc68 00000013 85391018 nt!IoSetInformation+0x1c2 </P> <P>f78fa1f4 f706c7b7 84c497a0 85391008 d66506b8 Ntfs!NtfsCompleteLargeAllocation+0x40 </P> <P>f78fa3f4 f70531e5 84c497a0 85391008 f78fa434 Ntfs!NtfsCommonCreate+0x1472 </P> <P>f78fa4f8 8083f9d0 88be6718 85391008 85391008 Ntfs!NtfsFsdCreate+0x17d </P> <P>f78fa50c f7117b43 00000000 85391008 85391198 nt!IofCallDriver+0x45 </P> <P>f78fa530 f71255af f78fa550 88f2aae8 00000000 fltMgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x20b </P> <P>f78fa56c 8083f9d0 88f2aae8 85391008 853911d8 fltMgr!FltpCreate+0x23b </P> <P>f78fa580 f70da51c 8081fd79 899446b0 899446f4 nt!IofCallDriver+0x45 </P> <P><B><FONT color=#ff0000>f78fa5b0 f70d942b 899446b0 85391008 00000000 df2k+0x751c</FONT></B></P> <P><B><FONT color=#ff0000>f78fa5e4 f70d8fed 89944640 85391008 89944588 df2k+0x642b</FONT></B></P> <P><B><FONT color=#ff0000>f78fa690 f70dae17 89944588 85391008 853911e0 df2k+0x5fed</FONT></B></P> <P>f78fa6b8 ba9ef8a1 853911e0 85391204 f78fa718 df2k+0x7e17</P> <P>f78fa6e0 ba9f8d58 89944588 00000000 f78fa718 SYMEVENT!SYMEvent_AllocVMData+0x5d61</P> <P>f78fa6fc ba9ef91b f78fa718 8082b0b9 ba9ef9e3 SYMEVENT!EventObjectCreate+0xb98</P> <P>f78fa73c 8083f9d0 88aacf10 85391008 85391008 SYMEVENT!SYMEvent_AllocVMData+0x5ddb</P> <P>f78fa750 f7117b43 00000000 85391008 85391204 nt!IofCallDriver+0x45 </P> <P>f78fa774 f71255af f78fa794 88d1da08 00000000 fltMgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x20b </P> <P>f78fa7b0 8083f9d0 88d1da08 85391008 85391008 fltMgr!FltpCreate+0x23b </P> <P>f78fa7c4 8092e269 f78fa96c 88dc1a48 00000000 nt!IofCallDriver+0x45 </P> <P>f78fa8ac 80936caa 88dc1a60 00000000 88e62860 nt!IopParseDevice+0xa35 </P> <P>f78fa92c 80936aa5 00000000 f78fa96c 00000240 nt!ObpLookupObjectName+0x5a9 </P> <P>f78fa980 80936f27 00000000 00000000 00000100 nt!ObOpenObjectByName+0xea </P> <P>f78fa9fc 80936ff8 8a2f22e4 0012019f f78fab7c nt!IopCreateFile+0x447 </P> <P>f78faa58 8092ed98 8a2f22e4 0012019f f78fab7c nt!IoCreateFile+0xa3 </P> <P>f78faa98 80834d3f 8a2f22e4 0012019f f78fab7c nt!NtCreateFile+0x30 </P> <P>f78faa98 8083c1ec 8a2f22e4 0012019f f78fab7c nt!KiFastCallEntry+0xfc </P> <P>f78fab3c f7396acb 8a2f22e4 0012019f f78fab7c nt!ZwCreateFile+0x11 </P> <P>f78fabc4 f739c6f7 8a2f22d0 00000001 f78fabec volsnap+0xeacb</P> <P>f78fabf8 f73a5d5d 86a966e0 12c00000 00000000 volsnap+0x146f7</P> <P>f78fad50 f73945e5 8aa020d8 851a5798 8ab868d0 volsnap+0x1dd5d</P> <P>f78fad6c 809180a0 875603d0 88eb2ab8 808b70dc volsnap+0xc5e5</P> <P>f78fad80 8083f72e 875603d0 00000000 8ab868d0 nt!IopProcessWorkItem+0x13 </P> <P>f78fadac 8092ccff 875603d0 00000000 00000000 nt!ExpWorkerThread+0xeb </P> <P><B><FONT color=#ff0000>f78faddc</FONT></B> 80841a96 8083f671 00000001 00000000 nt!PspSystemThreadStartup+0x2e </P> <P>00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16 </P> <P>La stack contient aussi plusieurs occurrences du module SYMEVENT qui est connu pour causer des problèmes de stack overflow</P> <P><I><U></U></I></P> <P>La solution au problème rencontré passera par:</P> <P>- Désinstallation ou mise à jour du composant Df2K.sys</P> <P>- Suivi des recommandations de Symantec pour la partie Symevent : <A href="http://service1.symantec.com/SUPPORT/ent-security.nsf/docid/2002071208532048?Open&amp;src=w" mce_href="http://service1.symantec.com/SUPPORT/ent-security.nsf/docid/2002071208532048?Open&amp;src=w">http://service1.symantec.com/SUPPORT/ent-security.nsf/docid/2002071208532048?Open&amp;src=w</A></P> <P><FONT size=2>&nbsp;<FONT face=Arial><STRONG>Mounia</STRONG></FONT></FONT></P> <P><FONT size=2 face=Arial><STRONG>Windows Core Technical Lead</STRONG></FONT></P><img src="http://blogs.technet.com/aggbug.aspx?PostID=3175025" width="1" height="1">NT DebuggingMouniaHang à l'ouverture d’une session TShttp://blogs.technet.com/windowsinternals/archive/2008/12/30/hang-l-ouverture-d-une-session-ts.aspxTue, 30 Dec 2008 18:18:00 GMTd5e57398-b9ef-4490-9955-07cbb4e4a80d:3174788philipped0http://blogs.technet.com/windowsinternals/comments/3174788.aspxhttp://blogs.technet.com/windowsinternals/commentrss.aspx?PostID=3174788<P><B>Définition du problème</B></P> <P mce_keep="true">&nbsp;</P> <P>Aléatoirement, lors de connexions RDP sur un serveur TS, le phénomène suivant se produit : après son ouverture de session, un utilisateur se retrouve uniquement avec le fond d’écran du bureau sans aucun icônes.</P> <P><B></B></P> <P><B></B></P> <P><B></B></P> <P><B></B>&nbsp;</P> <P><B>Action</B></P> <P mce_keep="true">&nbsp;</P> <P>Lors de l’apparition du problème, nous avons forcé la génération d’un memory dump du serveur manuellement:</P> <BLOCKQUOTE> <P>KB254649&nbsp; Overview of memory dump file options for Windows Server 2003, Windows XP, and Windows 2000</P> <P><A href="http://support.microsoft.com/default.aspx?scid=kb;EN-US;254649" mce_href="http://support.microsoft.com/default.aspx?scid=kb;EN-US;254649">http://support.microsoft.com/default.aspx?scid=kb;EN-US;254649</A></P> <P>KB244139&nbsp; Windows feature lets you generate a memory dump file by using the keyboard</P> <P><A href="http://support.microsoft.com/default.aspx?scid=kb;EN-US;244139" mce_href="http://support.microsoft.com/default.aspx?scid=kb;EN-US;244139">http://support.microsoft.com/default.aspx?scid=kb;EN-US;244139</A></P></BLOCKQUOTE> <P><B></B></P> <P><B></B></P> <P><B></B></P> <P><B></B>&nbsp;</P> <P><B>A</B><B>nalyse du dump</B></P> <P><STRONG></STRONG>&nbsp;</P> <P>Pour le téléchargement et l’installation de Windbg, voir mon précédent post « <A target=_blank href="http://blogs.technet.com/windowsinternals/archive/2008/12/16/debugger-un-100-cpu-du-spooler.aspx" mce_href="http://blogs.technet.com/windowsinternals/archive/2008/12/16/debugger-un-100-cpu-du-spooler.aspx">Debugger un 100% CPU du spooler</A> ». Concernant les commandes utilisées ici, vous pouvez trouver plus d’informations dans l’aide de Windbg.</P> <P>Dans l’analyse du dump, nous pouvons voir des threads en attente d’une « critical section » (voir définition ici <A href="http://fr.wikipedia.org/wiki/Section_critique" mce_href="http://fr.wikipedia.org/wiki/Section_critique">http://fr.wikipedia.org/wiki/Section_critique</A>) .</P> <P>Voici un exemple de thread en attente d’une « critical section » :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P><FONT face=Courier>0:018&gt; <STRONG><FONT color=#0000ff>~11s</FONT></STRONG> </FONT><FONT face=ver>&lt;- Cette commande permet de ce placer dans le contexte d’un thread en particulier, ici le thread 11 du process spoolsv.exe</FONT></P> <P><FONT face=Courier>eax=00002f9c ebx=00000000 ecx=00000187 edx=00002f9c esi=7c8877a0 edi=00000000</FONT></P> <P><FONT face=Courier>eip=7c8285ec esp=01b2f3bc ebp=01b2f3f8 iopl=0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; nv up ei pl zr na pe nc</FONT></P> <P><FONT face=Courier>cs=001b&nbsp; ss=0023&nbsp; ds=0023&nbsp; es=0023&nbsp; fs=003b&nbsp; gs=0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; efl=00000246</FONT></P> <P><FONT face=Courier>ntdll!KiFastSystemCallRet:</FONT></P> <P><FONT face=Courier>7c8285ec c3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret</FONT></P> <P>0:011&gt;<FONT color=#0000ff><STRONG> kv</STRONG> </FONT><FONT color=#000000>&lt;- permet d’afficher la pile du thread</FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f3b8 7c827d0b 7c83d236 00000124 00000000 ntdll!KiFastSystemCallRet </FONT></P> <P><FONT face="Courier New">01b2f3bc 7c83d236 00000124 00000000 00000000 ntdll!NtWaitForSingleObject+0xc </FONT></P> <P><FONT face="Courier New">01b2f3f8 7c83d281 00000124 00000004 00000001 <B><FONT color=#ff0000>ntdll!RtlpWaitOnCriticalSection</FONT></B>+0x1a3 </FONT></P> <P><FONT face="Courier New">01b2f418 7c82d243 7c8877a0 00000000 000000e9 <B><FONT color=#ff0000>ntdll!RtlEnterCriticalSection</FONT></B>+0xa8 </FONT></P> <P><FONT face="Courier New">01b2f44c 7c834029 00000001 00000000 01b2f488 ntdll!LdrLockLoaderLock+0xe4&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f6bc 77e41bf3 027125c8 01b2f708 01b2f6e8 ntdll!LdrLoadDll+0xc9&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f724 77e5c70b 72451460 00000000 00000000 kernel32!LoadLibraryExW+0x1b2&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f738 72451310 72451460 01b2fc90 000000e9 kernel32!LoadLibraryW+0x11&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f750 724516f9 01b2f75c 01bf8a50 00000780 usbmon!LoadSetupApiDll+0x1f&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f778 72451687 72455068 01b2f794 01b2fca0 usbmon!BuildPortList+0x11&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f79c 76136227 00000000 00000002 00000000 usbmon!DynaMon_EnumPorts+0x64&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f7bc 7615c9ce 00aded40 00000000 00000002 localspl!DpEnumPorts+0x1d&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f808 7615d2fb 00000000 00000002 00000000 localspl!SplEnumPorts+0xb8&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f834 740706e4 00000000 00000002 00000000 localspl!LocalEnumPorts+0x2f&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f874 01008d1e 00000000 00000002 00000000 spoolss!EnumPortsW+0x6d&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f8a8 01006d07 00000000 00000002 00000000 spoolsv!YEnumPorts+0x8b </FONT></P> <P><FONT face="Courier New">01b2f8cc 77c80193 00000000 00000002 00000000 spoolsv!RpcEnumPorts+0x1e </FONT></P> <P><FONT face="Courier New">01b2f8f8 77ce33e1 01006ce9 01b2fae0 00000006 rpcrt4!Invoke+0x30 </FONT></P> <P><FONT face="Courier New">01b2fcf8 77ce35c4 00000000 00000000 000eb3b4 rpcrt4!NdrStubCall2+0x299&nbsp; </FONT></P> <P><FONT face="Courier New">01b2fd14 77c7ff7a 000eb3b4 000d3888 000eb3b4 rpcrt4!NdrServerCall2+0x19&nbsp; </FONT></P></BLOCKQUOTE> <P><B><FONT face="Courier New"></FONT></B></P> <P><B><FONT face="Courier New">RtlpWaitOnCriticalSection</FONT></B> indique que ce thread est en attente sur une « critical section ».</P> <P mce_keep="true">&nbsp;</P> <P>On fait un KP pour avoir les paramètres des appels de fonctions :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:011&gt; <FONT color=#0000ff><STRONG>kP</STRONG></FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; </FONT></P> <P><FONT face="Courier New">01b2f3b8 7c827d0b ntdll!KiFastSystemCallRet(void) </FONT></P> <P><FONT face="Courier New">01b2f3bc 7c83d236 ntdll!NtWaitForSingleObject(void)+0xc </FONT></P> <P><B><FONT color=#ff0000 face="Courier New">01b2f3f8 7c83d281 ntdll!RtlpWaitOnCriticalSection(</FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RTL_CRITICAL_SECTION * CriticalSection = 0x00000124, </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; long Increment = 4)+0x1a3 </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">01b2f418 7c82d243 ntdll!RtlEnterCriticalSection(</FONT></B></P> <P><B><FONT face="Courier New"><FONT color=#ff0000>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RTL_CRITICAL_SECTION * CriticalSection = 0x7c8877a0)+0xa8</FONT> </FONT></B></P> <P><FONT face="Courier New">01b2f44c 7c834029 ntdll!LdrLockLoaderLock(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Flags = 1, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * Disposition = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void ** Cookie = 0x01b2f488)+0xe4 </FONT></P> <P><FONT face="Courier New">01b2f6bc 77e41bf3 ntdll!LdrLoadDll(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * DllPath = 0x027125c8, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * DllCharacteristics = 0x01b2f708, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _UNICODE_STRING * DllName = 0x01b2f6e8 "setupapi", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void ** DllHandle = 0x01b2f704)+0xc9 [</FONT></P> <P><FONT face="Courier New">01b2f724 77e5c70b kernel32!LoadLibraryExW(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * lpwLibFileName = 0x72451460, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hFile = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwFlags = 0)+0x1b2 </FONT></P> <P><FONT face="Courier New">01b2f738 72451310 kernel32!LoadLibraryW(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * lpwLibFileName = 0x72451460)+0x11 </FONT></P> <P><FONT face="Courier New">01b2f750 724516f9 usbmon!LoadSetupApiDll(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _SETUPAPI_INFO * pSetupInfo = 0x01b2f75c)+0x1f </FONT></P> <P><FONT face="Courier New">01b2f778 72451687 usbmon!BuildPortList(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct DynaMon_Monitor_Info_Struct * pMonitorInfo = 0x72455068, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct Port_Update_Struct ** ppPortUpdateList = 0x01b2f794)+0x11 </FONT></P> <P><FONT face="Courier New">01b2f79c 76136227 usbmon!DynaMon_EnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pszName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwLevel = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPorts = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0)+0x64 </FONT></P> <P><FONT face="Courier New">01b2f7bc 7615c9ce localspl!DpEnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hMonitor = 0x00aded40, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPorts = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0)+0x1d </FONT></P> <P><FONT face="Courier New">01b2f808 7615d2fb localspl!SplEnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPorts = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _INISPOOLER * pIniSpooler = 0x00a956a8)+0xb8 </FONT></P> <P><FONT face="Courier New">01b2f834 740706e4 localspl!LocalEnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPorts = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0)+0x2f </FONT></P> <P><FONT face="Courier New">01b2f874 01008d1e spoolss!EnumPortsW(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPort = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0)+0x6d </FONT></P> <P><FONT face="Courier New">01b2f8a8 01006d07 spoolsv!YEnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPort = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Call_Route Route = RPC_CALL (1))+0x8b </FONT></P> <P><FONT face="Courier New">01b2f8cc 77c80193 spoolsv!RpcEnumPorts(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned short * pName = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long Level = 2, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned char * pPort = 0x00000000 "", </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long cbBuf = 0, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcbNeeded = 0x01b2fc90, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pcReturned = 0x01b2fca0)+0x1e [</FONT></P> <P><FONT face="Courier New">01b2f8f8 77ce33e1 rpcrt4!Invoke(void)+0x30 </FONT></P> <P><FONT face="Courier New">01b2fcf8 77ce35c4 rpcrt4!NdrStubCall2(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct IRpcStubBuffer * pThis = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct IRpcChannelBuffer * pChannel = 0x00000000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RPC_MESSAGE * pRpcMsg = 0x000eb3b4, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long * pdwStubPhase = 0x01b2fd10)+0x299 </FONT></P> <P><FONT face="Courier New">01b2fd14 77c7ff7a rpcrt4!NdrServerCall2(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RPC_MESSAGE * pRpcMsg = 0x000eb3b4)+0x19</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Ceci nous montre les paramètres des appels de fonctions et nous montre que ce thread est bloqué car il attend la « critical section » <B><FONT color=#ff0000>0x7c8877a0</FONT>.</B></P> <P><STRONG></STRONG>&nbsp;</P> <BLOCKQUOTE> <P>0:011&gt; <FONT color=#0000ff>dt _RTL_CRITICAL_SECTION</FONT> <FONT color=#ff0000>0x7c8877a0</FONT></P> <P><FONT face="Courier New">spoolsv!_RTL_CRITICAL_SECTION</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x000 DebugInfo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : 0x7c8877c0 _RTL_CRITICAL_SECTION_DEBUG</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x004 LockCount&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : -38</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x008 RecursionCount&nbsp;&nbsp; : 1</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x00c OwningThread&nbsp;&nbsp;&nbsp;&nbsp; : 0x000046ac </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x010 LockSemaphore&nbsp;&nbsp;&nbsp; : 0x00000124 </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; +0x014 SpinCount&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : 0</FONT></P></BLOCKQUOTE> <P mce_keep="true">&nbsp;</P> <P>Cette critical section est détenue par le thread 0x000046ac.</P> <P mce_keep="true">&nbsp;</P> <P>Voyons à quel numéro de thread cela correspond :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:011&gt; <FONT color=#0000ff>!runaway </FONT><FONT color=#000000>&lt;- permet d’afficher le temps consommé par chaque thread</FONT></P> <P><FONT face="Courier New">User Mode Time</FONT></P> <P><FONT face="Courier New">&nbsp; Thread&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Time</FONT></P> <P><FONT face="Courier New">&nbsp; 11:4784&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:01.562</FONT></P> <P><FONT face="Courier New">&nbsp; <FONT color=#0000ff>13</FONT>:<FONT color=#ff0000><STRONG>46ac</STRONG></FONT>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.890</FONT></P> <P><FONT face="Courier New">&nbsp; 15:4ef8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.406</FONT></P> <P><FONT face="Courier New">&nbsp; 16:4f60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.125</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 3:680&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.093</FONT></P> <P><FONT face="Courier New">&nbsp; 10:78c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.031</FONT></P> <P><FONT face="Courier New">&nbsp; 22:4dc8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 21:4e08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 20:3bf0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 19:4340&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 18:4b80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 17:1e1c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 14:4b3c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp; 12:47f0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 9:724&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 8:720&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 7:71c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 6:718&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 5:6c4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 4:68c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 2:57c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 1:570&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; 0:558&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>On se place dans le contexte du thread :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:011&gt; <FONT color=#0000ff><STRONG>~13s</STRONG></FONT></P> <P><FONT face="Courier New">eax=00000001 ebx=77792c30 ecx=0207f501 edx=00000000 esi=00000a60 edi=00000000</FONT></P> <P><FONT face="Courier New">eip=7c8285ec esp=0207fd60 ebp=0207fdd0 iopl=0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; nv up ei pl zr na pe nc</FONT></P> <P><FONT face="Courier New">cs=001b&nbsp; ss=0023&nbsp; ds=0023&nbsp; es=0023&nbsp; fs=003b&nbsp; gs=0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; efl=00000246</FONT></P> <P><FONT face="Courier New">ntdll!KiFastSystemCallRet:</FONT></P> <P><FONT face="Courier New">7c8285ec c3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Puis on liste toute la stack :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt;<FONT color=#0000ff> kv</FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </FONT></P> <P><FONT face="Courier New">0207fd5c 7c827d0b 77e61d1e 00000a60 00000000 ntdll!KiFastSystemCallRet </FONT></P> <P><B><FONT color=#ff0000 face="Courier New">0207fd60 77e61d1e 00000a60 00000000 00000000 ntdll!NtWaitForSingleObject+0xc </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0207fdd0 77e61c8d 00000a60 ffffffff 00000000 kernel32!WaitForSingleObjectEx+0xac&nbsp; </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0207fde4 776f56f4 00000a60 ffffffff 77792cf0 kernel32!WaitForSingleObject+0x12&nbsp; </FONT></B></P> <P><FONT face="Courier New">0207fe00 7768dac2 00000a60 00000000 00000080 ole32!CDllHost::ClientCleanupFinish+0x2a&nbsp; </FONT></P> <P><FONT face="Courier New">0207fe2c 7768da32 00000000 0207fe7c 777966d4 ole32!DllHostProcessUninitialize+0x80&nbsp; </FONT></P> <P><FONT face="Courier New">0207fe4c 776bce20 00000000 00000000 02702988 ole32!ApartmentUninitialize+0xf8&nbsp; </FONT></P> <P><FONT face="Courier New">0207fe64 776bcdd2 0207fe7c 00000000 00000001 ole32!wCoUninitialize+0x7d </FONT></P> <P><FONT face="Courier New">0207fe80 776e4de6 00000001 77670000 776bc793 ole32!CoUninitialize+0x65&nbsp; </FONT></P> <P><FONT face="Courier New">0207fe8c 776bc793 0207feb4 776bc732 77670000 ole32!DoThreadSpecificCleanup+0x63&nbsp; </FONT></P> <P><FONT face="Courier New">0207fe94 776bc732 77670000 00000003 00000000 ole32!ThreadNotification+0x37&nbsp; </FONT></P> <P><FONT face="Courier New">0207feb4 776bc6da 77670000 00000003 00000000 ole32!DllMain+0x194&nbsp; </FONT></P> <P><FONT face="Courier New">0207fed4 7c81a352 77670000 00000003 00000000 ole32!_DllMainCRTStartup+0x52&nbsp; </FONT></P> <P><FONT face="Courier New">0207fef4 7c819178 776bc692 77670000 00000003 ntdll!LdrpCallInitRoutine+0x14 </FONT></P> <P><FONT face="Courier New">0207ffa8 77e4f920 00000000 00000000 0207ffec ntdll!LdrShutdownThread+0xd2&nbsp; </FONT></P> <P><FONT face="Courier New">0207ffb8 77e6482e 00000000 00000000 00000000 kernel32!ExitThread+0x2f&nbsp; </FONT></P> <P><FONT face="Courier New">0207ffec 00000000 77c7b0f5 000bb338 00000000 kernel32!BaseThreadStart+0x39 </FONT></P></BLOCKQUOTE> <P mce_keep="true">&nbsp;</P> <P>On peu voir que ce thread est en attente avec un <B><FONT color=#ff0000>WaitForSingleObject</FONT>.</B></P> <P><STRONG></STRONG>&nbsp;</P> <P>On fait un kP pour avoir l’objet sur lequel ce thread est en attente :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>kP</STRONG></FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; </FONT></P> <P><FONT face="Courier New">0207fd5c 7c827d0b ntdll!KiFastSystemCallRet(void) [</FONT></P> <P><FONT face="Courier New">0207fd60 77e61d1e ntdll!NtWaitForSingleObject(void)+0xc </FONT></P> <P><FONT face="Courier New">0207fdd0 77e61c8d kernel32!WaitForSingleObjectEx(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hHandle = 0x00000a60, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwMilliseconds = 0xffffffff, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int bAlertable = 0)+0xac </FONT></P> <P><B><FONT color=#ff0000 face="Courier New">0207fde4 776f56f4 kernel32!WaitForSingleObject(</FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hHandle = 0x00000a60, </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwMilliseconds = 0xffffffff)+0x12 </FONT></B></P> <P><FONT face="Courier New">0207fe00 7768dac2 ole32!CDllHost::ClientCleanupFinish(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hEvent = 0x00000a60)+0x2a </FONT></P> <P><FONT face="Courier New">0207fe2c 7768da32 ole32!DllHostProcessUninitialize(void)+0x80 </FONT></P> <P><FONT face="Courier New">0207fe4c 776bce20 ole32!ApartmentUninitialize(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int fHostThread = 0)+0xf8 </FONT></P> <P><FONT face="Courier New">0207fe64 776bcdd2 ole32!wCoUninitialize(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; class COleTls * Tls = 0x0207fe7c, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int fHostThread = 0)+0x7d </FONT></P> <P><FONT face="Courier New">0207fe80 776e4de6 ole32!CoUninitialize(void)+0x65 </FONT></P> <P><FONT face="Courier New">0207fe8c 776bc793 ole32!DoThreadSpecificCleanup(void)+0x63 </FONT></P> <P><FONT face="Courier New">0207fe94 776bc732 ole32!ThreadNotification(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct HINSTANCE__ * hDll = 0x77670000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwReason = 3, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * lpvReserved = 0x00000000)+0x37 </FONT></P> <P><FONT face="Courier New">0207feb4 776bc6da ole32!DllMain(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hInstance = 0x77670000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwReason = 3, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * lpvReserved = 0x00000000)+0x194 </FONT></P> <P><FONT face="Courier New">0207fed4 7c81a352 ole32!_DllMainCRTStartup(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * hDllHandle = 0x77670000, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwReason = 3, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * lpreserved = 0x00000000)+0x52</FONT></P> <P><FONT face="Courier New">0207fef4 7c819178 ntdll!LdrpCallInitRoutine(void)+0x14 </FONT></P> <P><FONT face="Courier New">0207ffa8 77e4f920 ntdll!LdrShutdownThread(void)+0xd2 </FONT></P> <P><FONT face="Courier New">0207ffb8 77e6482e kernel32!ExitThread(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; unsigned long dwExitCode = 0)+0x2f </FONT></P> <P><FONT face="Courier New">0207ffec 00000000 kernel32!BaseThreadStart(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &lt;function&gt; * lpStartAddress = 0x77c7b0f5, </FONT></P> <P><FONT face="Courier New">void * lpParameter = 0x000bb338)+0x39</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Puis on tape la commande suivante :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>!handle</STRONG></FONT> <FONT color=#ff0000>0x00000a60</FONT></P> <P><FONT face="Courier New">Handle 00000a60</FONT></P> <P><FONT face="Courier New">&nbsp; Type&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Event</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Cet objet est un Event, donc ce thread attend qu’un Event soit signalé.</P> <P mce_keep="true">&nbsp;</P> <P>Regardons un peu plus loin dans la stack :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>kv n</STRONG> </FONT><FONT color=#000000>(le “n” permet d’afficher les numéro de frame)</FONT></P> <P><FONT face="Courier New"># ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </FONT></P> <P><FONT face="Courier New">00 0207fd5c 7c827d0b 77e61d1e 00000a60 00000000 ntdll!KiFastSystemCallRet </FONT></P> <P><FONT face="Courier New">01 0207fd60 77e61d1e 00000a60 00000000 00000000 ntdll!NtWaitForSingleObject+0xc </FONT></P> <P><FONT face="Courier New">02 0207fdd0 77e61c8d 00000a60 ffffffff 00000000 kernel32!WaitForSingleObjectEx+0xac&nbsp; </FONT></P> <P><FONT face="Courier New">03 0207fde4 776f56f4 00000a60 ffffffff 77792cf0 kernel32!WaitForSingleObject+0x12&nbsp; </FONT></P> <P><FONT face="Courier New">04 0207fe00 7768dac2 00000a60 00000000 00000080 ole32!CDllHost::ClientCleanupFinish+0x2a&nbsp; </FONT></P> <P><FONT face="Courier New">05 0207fe2c 7768da32 00000000 0207fe7c 777966d4 ole32!DllHostProcessUninitialize+0x80 </FONT></P> <P><FONT face="Courier New">06 0207fe4c 776bce20 00000000 00000000 02702988 ole32!ApartmentUninitialize+0xf8&nbsp; </FONT></P> <P><FONT face="Courier New">07 0207fe64 776bcdd2 0207fe7c 00000000 00000001 ole32!wCoUninitialize+0x7d&nbsp; </FONT></P> <P><FONT face="Courier New">08 0207fe80 776e4de6 00000001 77670000 776bc793 ole32!CoUninitialize+0x65&nbsp; </FONT></P> <P><FONT face="Courier New">09 0207fe8c 776bc793 0207feb4 776bc732 77670000 ole32!DoThreadSpecificCleanup+0x63&nbsp; </FONT></P> <P><FONT face="Courier New">0a 0207fe94 776bc732 77670000 00000003 00000000 ole32!ThreadNotification+0x37 </FONT></P> <P><B><FONT color=#ff0000 face="Courier New">0b 0207feb4 776bc6da 77670000 00000003 00000000 ole32!DllMain+0x194&nbsp; </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0c 0207fed4 7c81a352 77670000 00000003 00000000 ole32!_DllMainCRTStartup+0x52&nbsp; </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0d 0207fef4 7c819178 776bc692 77670000 00000003 ntdll!LdrpCallInitRoutine+0x14 </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0e 0207ffa8 77e4f920 00000000 00000000 0207ffec ntdll!LdrShutdownThread+0xd2&nbsp; </FONT></B></P> <P><B><FONT face="Courier New"><FONT color=#ff0000>0f 0207ffb8 77e6482e 00000000 00000000 00000000 kernel32!ExitThread+0x2f </FONT></FONT></B></P> <P><FONT face="Courier New">10 0207ffec 00000000 77c7b0f5 000bb338 00000000 kernel32!BaseThreadStart+0x39</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Nous pouvons voir que ce thread est en cours de fermeture (<B><FONT color=#ff0000>kernel32!ExitThread</FONT></B>) et dans une phase de fermeture d’un thread nous notifions toutes les dlls du processus pour leurs indiquer que ce thread se termine et dans cette stack nous avons :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P><B><FONT color=#ff0000 face="Courier New">0b 0207feb4 776bc6da 77670000 00000003 00000000 ole32!DllMain+0x194&nbsp; </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0c 0207fed4 7c81a352 77670000 00000003 00000000 ole32!_DllMainCRTStartup+0x52 </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0d 0207fef4 7c819178 776bc692 77670000 00000003 ntdll!LdrpCallInitRoutine+0x14 </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0e 0207ffa8 77e4f920 00000000 00000000 0207ffec ntdll!LdrShutdownThread+0xd2 </FONT></B></P> <P><B><FONT color=#ff0000 face="Courier New">0f 0207ffb8 77e6482e 00000000 00000000 00000000 kernel32!ExitThread+0x2f&nbsp; </FONT></B></P></BLOCKQUOTE> <P mce_keep="true">&nbsp;</P> <P>On se met sur la frame 0c :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>.frame 0c</STRONG></FONT></P> <P><FONT face="Courier New">0c 0207fed4 7c81a352 ole32!_DllMainCRTStartup+0x52</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Puis on fait un DV pour afficher les paramètres :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>dv</STRONG></FONT></P> <P>&nbsp;&nbsp;&nbsp;&nbsp; <FONT face="Courier New">hDllHandle = 0x77670000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; dwReason = 3</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; lpreserved = 0x00000000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; retcode = 3</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P><FONT face="Courier New"></FONT></P> <P>Regardons maintenant à quoi correspond ce « hDllHandle » :</P> <P mce_keep="true">&nbsp;</P> <P><FONT face="Courier New"></FONT></P> <BLOCKQUOTE> <P><FONT face="Courier New">0:013&gt; <FONT color=#0000ff><STRONG>!lmi</STRONG></FONT> <FONT color=#ff0000><STRONG>0x77670000</STRONG></FONT></FONT></P> <P><FONT face="Courier New">Loaded Module Info: [0x77670000] </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Module: ole32</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; Base Address: 77670000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp; Image Name: ole32.dll</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp; Machine Type: 332 (I386)</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp; Time Stamp: 45d70aa5 Sat Feb 17 15:01:09 2007</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Size: 139000</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CheckSum: 14357b</FONT></P> <P><FONT face="Courier New">Characteristics: 210e&nbsp; perf</FONT></P> <P><FONT face="Courier New">Debug Data Dirs: Type&nbsp; Size&nbsp;&nbsp;&nbsp;&nbsp; VA&nbsp; Pointer</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CODEVIEW&nbsp;&nbsp;&nbsp; 22, 11a44c,&nbsp; 11984c RSDS - GUID: {DC8A079C-AE0B-4A0C-89EC-5A936EAF1F7F}</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Age: 2, Pdb: ole32.pdb</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CLSID&nbsp;&nbsp;&nbsp;&nbsp; 4, 11a448,&nbsp; 119848 [Data not mapped]</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp; Image Type: MEMORY&nbsp;&nbsp; - Image read successfully from loaded memory.</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp; Symbol Type: PDB&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; - Symbols loaded successfully from symbol server.</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Compiler: C++ - front end [13.10 bld 4035] - back end [13.10 bld 4035]</FONT></P></BLOCKQUOTE> <P><FONT face="Courier New"></FONT>&nbsp;</P> <P>Nous voyons que dans la phase de shutdown on appelle OLE32 et nous somme en attente d’un Event.</P> <P mce_keep="true">&nbsp;</P> <P>En regardant les autres thread du spooler, nous pouvons voir un thread qui est dans une phase de&nbsp; LdrUnloadDll (déchargement d’une dll). Mais ce thread est en attente sur une « critical section » qui est celle détenue par le thread précédent :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:013&gt; <FONT color=#0000ff><STRONG>~18s</STRONG></FONT></P> <P><FONT face="Courier New">eax=77ec1944 ebx=00000000 ecx=77e424de edx=03311b00 esi=7c8877a0 edi=00000000</FONT></P> <P><FONT face="Courier New">eip=7c8285ec esp=032cfcb8 ebp=032cfcf4 iopl=0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; nv up ei pl zr na pe nc</FONT></P> <P><FONT face="Courier New">cs=001b&nbsp; ss=0023&nbsp; ds=0023&nbsp; es=0023&nbsp; fs=003b&nbsp; gs=0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; efl=00000246</FONT></P> <P><FONT face="Courier New">ntdll!KiFastSystemCallRet:</FONT></P> <P><FONT face="Courier New">7c8285ec c3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret</FONT></P> <P>0:018&gt; <FONT color=#0000ff><STRONG>kv</STRONG></FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; Args to Child&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </FONT></P> <P><FONT face="Courier New">032cfcb4 7c827d0b 7c83d236 00000124 00000000 ntdll!KiFastSystemCallRet </FONT></P> <P><FONT color=#ff0000 face="Courier New"><STRONG>032cfcb8 7c83d236 00000124 00000000 00000000 ntdll!NtWaitForSingleObject+0xc </STRONG></FONT></P> <P><FONT color=#ff0000 face="Courier New"><STRONG>032cfcf4 7c83d281 00000124 00000004 00000000 ntdll!RtlpWaitOnCriticalSection+0x1a3&nbsp; </STRONG></FONT></P> <P><FONT color=#ff0000 face="Courier New"><STRONG>032cfd14 7c839844 7c8877a0 032cfe70 032cfeac ntdll!RtlEnterCriticalSection+0xa8 </STRONG></FONT></P> <P><FONT face="Courier New">032cfe1c 77e6b1bb 02100000 032cfeac 032cfedc <B><FONT color=#008000>ntdll!LdrUnloadDll</FONT></B>+0x35 </FONT></P> <P><FONT face="Courier New">032cfe30 77691d0f 02100000 032cff04 77691d23 kernel32!FreeLibrary+0x41&nbsp; </FONT></P> <P><FONT face="Courier New">032cfe3c 77691d23 032cfeb8 777965b0 00000000 ole32!CClassCache::CDllPathEntry::CFinishObject::Finish+0x2f </FONT></P> <P><FONT face="Courier New">032cfe50 77691afe 77671af0 00000000 00000000 ole32!CClassCache::CFinishComposite::Finish+0x1d&nbsp; </FONT></P> <P><FONT face="Courier New">032cff04 7769182a 02702bd8 00000080 776bc944 ole32!CClassCache::CleanUpDllsForApartment+0x1d0&nbsp; </FONT></P> <P><FONT face="Courier New">032cff30 7769174c 00000000 032cff84 777966d4 ole32!FinishShutdown+0xd7 </FONT></P> <P><FONT face="Courier New">032cff50 776bce20 00000001 00007530 77792c30 ole32!ApartmentUninitialize+0x94 </FONT></P> <P><FONT face="Courier New">032cff68 776f5797 032cff84 00000001 77e61c96 ole32!wCoUninitialize+0x7d </FONT></P> <P><FONT face="Courier New">032cff88 7768f2a2 032cffac 776bbab4 77792c30 ole32!CDllHost::WorkerThread+0xdd </FONT></P> <P><FONT face="Courier New">032cff90 776bbab4 77792c30 00000000 0270a1c0 ole32!DLLHostThreadEntry+0xd </FONT></P> <P><FONT face="Courier New">032cffac 776b1704 00000000 032cffec 77e64829 ole32!CRpcThread::WorkerLoop+0x26 </FONT></P> <P><FONT face="Courier New">032cffb8 77e64829 0270a1c0 00000000 00000000 ole32!CRpcThreadCache::RpcWorkerThreadEntry+0x20&nbsp; </FONT></P> <P><FONT face="Courier New">032cffec 00000000 776b16e4 0270a1c0 00000000 kernel32!BaseThreadStart+0x34 </FONT></P></BLOCKQUOTE> <P mce_keep="true">&nbsp;</P> <P>Regardons quelle DLL ce thread essaie de décharger :</P> <P mce_keep="true">&nbsp;</P> <BLOCKQUOTE> <P>0:018&gt; <FONT color=#0000ff><STRONG>kP</STRONG></FONT></P> <P><FONT face="Courier New">ChildEBP RetAddr&nbsp; </FONT></P> <P><FONT face="Courier New">032cfcb4 7c827d0b ntdll!KiFastSystemCallRet(void) </FONT></P> <P><FONT face="Courier New">032cfcb8 7c83d236 ntdll!NtWaitForSingleObject(void)+0xc </FONT></P> <P><FONT face="Courier New">032cfcf4 7c83d281 ntdll!RtlpWaitOnCriticalSection(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RTL_CRITICAL_SECTION * CriticalSection = 0x00000124, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; long Increment = 4)+0x1a3 </FONT></P> <P><FONT face="Courier New">032cfd14 7c839844 ntdll!RtlEnterCriticalSection(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct _RTL_CRITICAL_SECTION * CriticalSection = 0x7c8877a0)+0xa8 </FONT></P> <P><FONT face="Courier New">032cfe1c 77e6b1bb ntdll!LdrUnloadDll(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * <FONT color=#ff0000><STRONG>DllHandle = 0x02100000</STRONG></FONT>)+0x35 </FONT></P> <P><FONT face="Courier New">032cfe30 77691d0f kernel32!FreeLibrary(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct HINSTANCE__ * hLibModule = 0x02100000)+0x41 </FONT></P> <P><FONT face="Courier New">032cfe3c 77691d23 ole32!CClassCache::CDllPathEntry::CFinishObject::Finish(void)+0x2f </FONT></P> <P><FONT face="Courier New">032cfe50 77691afe ole32!CClassCache::CFinishComposite::Finish(void)+0x1d </FONT></P> <P><FONT face="Courier New">032cff04 7769182a ole32!CClassCache::CleanUpDllsForApartment(void)+0x1d0 </FONT></P> <P><FONT face="Courier New">032cff30 7769174c ole32!FinishShutdown(void)+0xd7 </FONT></P> <P><FONT face="Courier New">032cff50 776bce20 ole32!ApartmentUninitialize(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int fHostThread = 1)+0x94 </FONT></P> <P><FONT face="Courier New">032cff68 776f5797 ole32!wCoUninitialize(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; class COleTls * Tls = 0x032cff84, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int fHostThread = 1)+0x7d </FONT></P> <P><FONT face="Courier New">032cff88 7768f2a2 ole32!CDllHost::WorkerThread(void)+0xdd </FONT></P> <P><FONT face="Courier New">032cff90 776bbab4 ole32!DLLHostThreadEntry(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * param = 0x77792c30)+0xd [</FONT></P> <P><FONT face="Courier New">032cffac 776b1704 ole32!CRpcThread::WorkerLoop(void)+0x26 </FONT></P> <P><FONT face="Courier New">032cffb8 77e64829 ole32!CRpcThreadCache::RpcWorkerThreadEntry(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * param = 0x0270a1c0)+0x20 </FONT></P> <P><FONT face="Courier New">032cffec 00000000 kernel32!BaseThreadStart(</FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &lt;function&gt; * lpStartAddress = 0x776b16e4, </FONT></P> <P><FONT face="Courier New">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; void * lpParameter = 0x0270a1c0)+0x34</FONT></P> <P>0:018&gt; <FONT color=#0000ff><STRONG>!lmi</STRONG></FONT> <FONT color=#ff0000>0x02100000</FONT></P> <P>Loaded Module Info: [0x02100000] </P> <P><B>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <FONT color=#ff0000>Module: HPBOID</FONT></B></P> <P>&nbsp;&nbsp; Base Address: 02100000</P> <P>&nbsp;&nbsp;&nbsp;&nbsp; Image Name: HPBOID.DLL</P> <P>&nbsp;&nbsp; Machine Type: 332 (I386)</P> <P>&nbsp;&nbsp;&nbsp;&nbsp; Time Stamp: 45c30dad Fri Feb 02 11:08:45 2007</P> <P>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Size: 9000</P> <P>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CheckSum: e266</P> <P>Characteristics: 210e&nbsp; </P> <P>Debug Data Dirs: Type&nbsp; Size&nbsp;&nbsp;&nbsp;&nbsp; VA&nbsp; Pointer</P> <P>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CODEVIEW&nbsp;&nbsp;&nbsp; 54,&nbsp; 1458,&nbsp;&nbsp;&nbsp;&nbsp; 858 RSDS - GUID: {6D0A74B4- DFB-4467-BA2A-27942C80B5FC}</P> <P>&nbsp;&nbsp;&nbsp; Image Type: MEMORY&nbsp;&nbsp; - Image read successfully from loaded memory.</P> <P>&nbsp;&nbsp;&nbsp; Symbol Type: EXPORT&nbsp;&nbsp; - PDB not found</P> <P>Load Report: export symbols</P></BLOCKQUOTE> <P mce_keep="true">&nbsp;</P> <P><STRONG>Conclusion</STRONG></P> <P><STRONG></STRONG>&nbsp;</P> <P>Ici le problème semble lié au module HPBOID.</P> <P><STRONG></STRONG>&nbsp;</P> <P><STRONG>Résolution</STRONG></P> <P mce_keep="true">&nbsp;</P> <P>Nous avons dans un premier temps renommé ce composant&nbsp; afin de vérifier :</P> <P>1. Si cela permettait de résoudre le problème (ce fût le cas)</P> <P>2. De s’assurer que cela n’avait pas d’impact sur le bon fonctionnement des imprimantes.</P> <P mce_keep="true">&nbsp;</P> <P>Ensuite, il a fallut contacter l’éditeur de ce composant afin soit de le désinstaller sans impacter les imprimantes ou de se procurer une version mise à jour corrigeant ce problème.</P> <P mce_keep="true">&nbsp;</P> <P>Bon réveillon et bonne année.</P> <P>Philippe</P> <P>Windows Core Support Escalation Engineer</P><img src="http://blogs.technet.com/aggbug.aspx?PostID=3174788" width="1" height="1">NT DebuggingphilippedDebugger un 100% CPU du spoolerhttp://blogs.technet.com/windowsinternals/archive/2008/12/16/debugger-un-100-cpu-du-spooler.aspxTue, 16 Dec 2008 20:17:00 GMTd5e57398-b9ef-4490-9955-07cbb4e4a80d:3169806philipped1http://blogs.technet.com/windowsinternals/comments/3169806.aspxhttp://blogs.technet.com/windowsinternals/commentrss.aspx?PostID=3169806<P><FONT size=2>Dans ce post nous allons voir comment traiter un problème spécifique de 100% CPU causé par le spooler.</FONT></P> <P><FONT size=2>Après avoir constaté via Task Manager ou Process Explorer que le processus causant cette consommation de temps processeur était bien Spoolsv.exe (spooler d’impression), nous avons pris plusieurs dumps du processus avec l’outil Adplus.</FONT></P> <P><FONT size=2>Cette méthodologie peut être reprise pour identifier d’autres dysfonctionnements liés au spooler.</FONT></P> <P mce_keep="true">&nbsp;</P> <P><FONT size=2></FONT></P> <P><FONT size=2></FONT></P> <P><STRONG><FONT color=#000080 size=2>Collecte de dump</FONT></STRONG></P> <P><FONT size=2></FONT></P> <P><FONT size=2>Pour cela, télécharger les « Debugging Tools » à cette adresse : </FONT><A href="http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx" mce_href="http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx"><FONT size=2>http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx</FONT></A><FONT size=2> et les installer sur le serveur (il est possible d’installer ces outils sur une machine moins sensible puis de copier le répertoire d’installation vers le serveur).</FONT></P> <P><FONT size=2>Après avoir installé ces outils nous avons pris des dumps du processus Spoolsv.exe via la commande suivante :</FONT></P> <BLOCKQUOTE> <P><FONT size=2>Cscript Adplus.vbs –quiet –hang –pn spoolsv.exe –r 3 60</FONT></P></BLOCKQUOTE> <UL> <UL> <LI><FONT size=2>-quiet =&gt; afin de ne pas avoir à répondre aux deux messages « popup » concernant les symbols</FONT> </LI> <LI><FONT size=2>-hang =&gt; vous avez le choix entre hang ou crash, dans notre cas comme nous voulons prendre des dumps sans interrompre le processus nous utilisons donc –hang.</FONT> </LI> <LI><FONT size=2>-pn=&gt; cette option permet de spécifier le nom du processus, sinon vous pouvez utiliser –p en spécifiant le PID du process.</FONT> </LI> <LI><FONT size=2>-r =&gt; permet d’automatiser la prise de plusieurs dumps avec un intervalle de temps entre chaque dump, ici 3 dumps avec 60s entre chaque dump.</FONT> </LI></UL></UL> <P><FONT size=2></FONT></P> <P><FONT size=2>Après avoir pris les dumps, nous les avons ouverts avec Windbg (fournis aussi avec les Debugging tools) :</FONT></P> <BLOCKQUOTE> <OL> <LI><FONT size=2>Menu <STRONG>Démarrer =&gt; Debugging tools for Windows =&gt; Windbg</STRONG></FONT> </LI> <LI><FONT size=2>Depuis le menu <STRONG>File =&gt; Symbol file path </STRONG>entrez les paramètres suivants : <STRONG>SRV*C:\SYMBOLS*http://msdl.microsoft.com/download/symbols</STRONG> puis OK <BR></FONT><FONT size=2>Il est important de disposer de symboles pour que Windbg puisse interpréter le contenu de la mémoire, de la pile, etc…On spécifie ici la source utilisée pour télécharger les symboles publics (en l’occurrence les serveurs publics Microsoft)</FONT> </LI> <LI><FONT size=2><STRONG>File=&gt; Open Crash Dump</STRONG></FONT> </LI></OL></BLOCKQUOTE> <P><STRONG><FONT color=#000080 size=2></FONT></STRONG>&nbsp;</P> <P><STRONG><FONT color=#000080 size=2>Analyse des dumps</FONT></STRONG></P> <P><FONT size=2></FONT></P> <P><FONT size=2>La première étape consiste à rechercher le thread consommant le plus de CPU :</FONT></P> <BLOCKQUOTE> <P><FONT color=#008000 size=2 face=Courier><STRONG>&gt;!runaway</STRONG></FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>User Mode Time</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>Thread Time</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT color=#ff0000 size=2 face=Courier>4:1144 0 days 0:00:01.312 <FONT size=2><STRONG>=&gt; Le thread 4 est celui qui utilise actuellement le plus de CPU</STRONG></FONT></FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>11:135c 0 days 0:00:00.015</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>17:1714 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>16:1710 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>15:170c 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>14:1708 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>13:1704 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>12:1700 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>10:16fc 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>9:16f8 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>8:16f0 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>7:16e8 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>6:16ac 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>5:113c 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>3:15c8 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>2:ff4 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>1:13c 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>0:148 0 days 0:00:00.000</FONT></P></BLOCKQUOTE> <P><FONT size=2></FONT></P> <P><FONT size=2>Nous devons donc nous positionner dans le contexte du thread :</FONT></P> <BLOCKQUOTE> <P><STRONG><FONT color=#008000 size=2 face=Courier>&gt;~4s</FONT></STRONG></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>eax=0000004b ebx=00000000 ecx=00a3dea8 edx=7ffe0300 esi=00a3e008 edi=00000000</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>eip=7c8285ec esp=00a3df94 ebp=00a3dfd4 iopl=0 nv up ei pl nz na pe nc</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000206</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>ntdll!KiFastSystemCallRet:</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>7c8285ec c3 ret</FONT></P></BLOCKQUOTE> <P><FONT size=2></FONT></P> <P><FONT size=2>On affiche la pile du thread :</FONT></P> <BLOCKQUOTE> <P><STRONG><FONT color=#008000 size=2 face=Courier>&gt;kv</FONT></STRONG></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>ChildEBP RetAddr Args to Child</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3df90 7c82734b 77f5cd00 00a3dfe0 00010000 ntdll!KiFastSystemCallRet (FPO: [0,0,0]) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3df94 77f5cd00 00a3dfe0 00010000 00a3dfb4 ntdll!ZwOpenKey+0xc (FPO: [3,0,0]) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3dfd4 77f5cc4d 0000047c 00000000 00000000 advapi32!LocalBaseRegDeleteKeyEx+0xb0 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3dfec 77f5cc0d 0000047c 00a3e008 00a3e2c4 advapi32!LocalBaseRegDeleteKey+0x14 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e038 7616687e 0000047c 00a3e2c4 00a3e288 advapi32!RegDeleteKeyW+0xd2 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e048 7613e295 0000047c 00a3e2c4 008f52a8 <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>+0x3d (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e288 7613e234 0000047c 000001e0 00a3e2c4 <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>+0x17b (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e4d0 7613e234 00000478 0000047c 00a3e50c <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>+0x126 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e718 7613e234 00000480 00000478 00a3e754 <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>+0x126 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e960 76143a57 00000174 00000480 008f9e78 <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>+0x126 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e990 76143ac2 008f9e78 008f52a8 008f52a8 localspl!DeletePrinterIni+0x7a (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e9a8 7613f590 00958078 00000001 00000000 localspl!DeletePrinterForReal+0x2b (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e9bc 76133674 008f52a8 008f52a8 00a3f68c localspl!CleanupDeletedPrinters+0x2b (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f230 761374eb 008f52a8 00000000 008f2ab8 localspl!BuildPrinterInfo+0xee5 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f668 761391f8 0090e8a0 00000001 00a3f68c localspl!SplCreateSpooler+0x644 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f908 74064c44 008f2ab8 00000158 00000000 localspl!InitializePrintProvidor+0x1bc (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f930 74064915 74064cd0 00000000 00000000 spoolss!InitializeProvidor+0x89 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3ffb8 77e64829 008f1ea8 00000000 00000000 spoolss!InitializeRouter+0x25b (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3ffec 00000000 01003f90 008f1ea8 00000000 kernel32!BaseThreadStart+0x34 (FPO: [Non-Fpo]) (CONV: stdcall) </FONT></P></BLOCKQUOTE> <P><FONT size=2></FONT></P> <P><FONT size=2>Ici on peut voir que nous essayons de faire une suppression d’une clé de registre, <FONT color=#ff0000>localspl!SplRegDeleteKey</FONT>, e</FONT><FONT size=2>t cela en boucle car il semble que le processus n’arrive pas à la supprimer, d’où la consommation de CPU dans le temps.</FONT></P> <P><FONT size=2></FONT></P> <P><FONT size=2>Voyons à quoi correspond cette clé (du moins trouver l’adresse du handle qui pointe vers cette clé) avec la commande suivante :</FONT></P> <BLOCKQUOTE> <P><FONT color=#008000 size=2 face=Courier><STRONG>&gt;Kp</STRONG></FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>ChildEBP RetAddr</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3df90 7c82734b ntdll!KiFastSystemCallRet(void) </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3df94 77f5cd00 ntdll!ZwOpenKey(void)+0xc </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3dfd4 77f5cc4d advapi32!LocalBaseRegDeleteKeyEx(struct HKEY__ * hKey = <FONT color=#ff0000>0x0000047c</FONT>, struct _UNICODE_STRING * lpSubKey = 0x00000000, unsigned long samDesired = 0, unsigned long Reserved = 0)+0xb0 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3dfec 77f5cc0d advapi32!LocalBaseRegDeleteKey(struct HKEY__ * hKey = <FONT color=#ff0000>0x0000047c</FONT>, struct _UNICODE_STRING * lpSubKey = 0x00a3e008 "(0x1A01)")+0x14 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e038 7616687e advapi32!RegDeleteKeyW(struct HKEY__ * hKey = <FONT color=#ff0000>0x0000047c</FONT>, unsigned short * lpKeyName = 0x00a3e2c4)+0xd2 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e048 7613e295 <FONT color=#ff0000>localspl!SplRegDeleteKey(void * hKey = 0x0000047c</FONT>, unsigned short * pszSubKey = 0x00a3e2c4, struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x3d </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e288 7613e234 localspl!SplDeleteThisKey(void * hParentKey = <FONT color=#ff0000>0x0000047c</FONT>, void * hThisKey = 0x000001e0, unsigned short * pThisKeyName = 0x00a3e2c4, int bDeleteNullKey = 1, struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x17b </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e4d0 7613e234 localspl!SplDeleteThisKey(void * hParentKey = 0x00000478, void * hThisKey = 0x0000047c, unsigned short * pThisKeyName = 0x00a3e50c, int bDeleteNullKey = 1, struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x126 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e718 7613e234 localspl!SplDeleteThisKey(void * hParentKey = 0x00000480, void * hThisKey = 0x00000478, unsigned short * pThisKeyName = 0x00a3e754, int bDeleteNullKey = 1, struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x126 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e960 76143a57 localspl!SplDeleteThisKey(void * hParentKey = 0x00000174, void * hThisKey = 0x00000480, unsigned short * pThisKeyName = 0x008f9e78, int bDeleteNullKey = 1, struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x126 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e990 76143ac2 localspl!DeletePrinterIni(struct _INIPRINTER * pIniPrinter = 0x008f9e78)+0x7a </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e9a8 7613f590 localspl!DeletePrinterForReal(struct _INIPRINTER * pIniPrinter = 0x00958078, int bIsInitTime = 1)+0x2b </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3e9bc 76133674 localspl!CleanupDeletedPrinters(struct _INISPOOLER * pIniSpooler = 0x008f52a8)+0x2b </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f230 761374eb localspl!BuildPrinterInfo(struct _INISPOOLER * pIniSpooler = 0x008f52a8, int UpdateChangeID = 0)+0xee5 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f668 761391f8 localspl!SplCreateSpooler(unsigned short * pMachineName = 0x0090e8a0, unsigned long Level = 1, unsigned char * pSpooler = 0x00a3f68c "", unsigned char * pReserved = 0x00000000 "")+0x644 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f908 74064c44 localspl!InitializePrintProvidor(struct _PRINTPROVIDOR * pPrintProvidor = 0x008f2ab8, unsigned long cbPrintProvidor = 0x158, unsigned short * pFullRegistryPath = 0x00000000)+0x1bc </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3f930 74064915 spoolss!InitializeProvidor(unsigned short * pProvidorName = 0x74064cd0, unsigned short * pFullName = 0x00000000)+0x89 </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3ffb8 77e64829 spoolss!InitializeRouter(struct RouterInitializationParams * pRouterParams = 0x008f1ea8)+0x25b </FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>00a3ffec 00000000 kernel32!BaseThreadStart(&lt;function&gt; * lpStartAddress = 0x01003f90, void * lpParameter = 0x008f1ea8)+0x34</FONT></P></BLOCKQUOTE> <P><FONT size=2 face=Courier></FONT></P> <P><FONT size=2>La commande suivante permet d’afficher la clé de registre qui ne peut être supprimée :</FONT></P> <BLOCKQUOTE> <P><FONT color=#008000 size=2 face=Courier><STRONG>&gt;!handle 0000047c 4</STRONG></FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>Handle 0000047c</FONT></P></BLOCKQUOTE> <BLOCKQUOTE> <P><FONT size=2 face=Courier>Name <FONT color=#ff0000>\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Printers\bg-picklabel on bgmprint (from BG-JLP) in session 1\PrinterDriverData\Papers</FONT></FONT></P></BLOCKQUOTE> <P><FONT size=2></FONT></P> <P><FONT size=2>Cette clé est vraisemblablement corrompue car la tentative de suppression manuelle avec Regedit </FONT><FONT size=2>s’est avérée impossible. Le nom de la clé est peu commun et peut donc contenir des caractères null.</FONT></P> <P><FONT size=2></FONT></P> <P><FONT size=2>La suppression via Regedit n'étant pas possible nous avons utilisé l'outil <STRONG>RegDelNull.exe</STRONG> (disponible depuis </FONT><A href="http://www.microsoft.com/technet/sysinternals/utilities/regdelnull.mspx" mce_href="http://www.microsoft.com/technet/sysinternals/utilities/regdelnull.mspx"><FONT size=2>http://www.microsoft.com/technet/sysinternals/utilities/regdelnull.mspx</FONT></A><FONT size=2> ) via la commande : <STRONG>RegDelNull.exe hklm -s</STRONG> puis nous avons répondu « Yes » concernant la suppression de la clé « bg-picklabel on bgmprint (from BG-JLP) in session 1\PrinterDriverData\Papers »</FONT></P> <P><FONT size=2></FONT></P> <P><FONT size=2>Un redémarrage du spooler a permis de remettre en service le service d’impression.</FONT></P> <P><FONT size=2></FONT></P> <P><FONT size=2></FONT></P> <P><FONT size=2></FONT>&nbsp;</P> <P><FONT size=2>Philippe</FONT></P> <P><FONT size=2>Windows Core Support Escalation Engineer</FONT></P><img src="http://blogs.technet.com/aggbug.aspx?PostID=3169806" width="1" height="1">NT DebuggingphilippedComment résoudre un 100% cpu kernel?http://blogs.technet.com/windowsinternals/archive/2008/10/14/comment-resoudre-un-100-cpu-kernel.aspxTue, 14 Oct 2008 11:46:00 GMTd5e57398-b9ef-4490-9955-07cbb4e4a80d:3136288hervech0http://blogs.technet.com/windowsinternals/comments/3136288.aspxhttp://blogs.technet.com/windowsinternals/commentrss.aspx?PostID=3136288<P>Voici un exemple de troubleshooting d’un problème de 100% cpu en mode kernel en utilisant le « Microsoft Windows Performance Toolkit » + un kernel dump.</P> <P><B><U>Scenario</U></B></P> <P>Une application réalisant des accès aux données (ODBC) part en 100% cpu après quelques milliers d’accès au SGBD. i.e. tout marche correctement pendant quelques minutes puis nous partons en 100% cpu en mode kernel ce qui a pour résultat d’avoir un système inutilisable.</P> <P><B><U>Outils</U></B></P> <P>Nous allons utiliser le « Microsoft Windows Performance Toolkit » que l’on peut télécharger ici <A href="http://msdn.microsoft.com/en-us/library/cc305187.aspx" mce_href="http://msdn.microsoft.com/en-us/library/cc305187.aspx">http://msdn.microsoft.com/en-us/library/cc305187.aspx</A> , ainsi qu’un kernel dump au moment où le problème est visible. Pour analyser le kernel dump nous allons utiliser windbg.exe qui est distribué avec les « Debugging Tools for Windows » téléchargeable ici <A href="http://www.microsoft.com/whdc/devtools/debugging/default.mspx" mce_href="http://www.microsoft.com/whdc/devtools/debugging/default.mspx">http://www.microsoft.com/whdc/devtools/debugging/default.mspx</A> .</P> <P><B><U>Collecte des données</U></B></P> <P><I>Xperf:</I> nous avons démarré une trace xperf alors que l’application marchait bien puis, nous avons laissé celle-ci continuer alors que le problème était visible. Les commandes étant les suivantes :</P> <P><FONT color=#808080>xperf –on Base+Diag</FONT> (pour démarrer le tracing)</P> <P><FONT color=#808080>xperf –d c:\cpu.etl</FONT> (pour arrêter le tracing)</P> <P><I>Kernel Dump:</I> <A href="http://msdn.microsoft.com/en-us/library/cc266492.aspx" mce_href="http://msdn.microsoft.com/en-us/library/cc266492.aspx">http://msdn.microsoft.com/en-us/library/cc266492.aspx</A></P> <P><B><U></U></B></P> <P><B><U>Troubleshooting</U></B></P> <P>La première étape va consister à constater le problème de 100% cpu à partir du dump. Pour cela j’ouvre le dump dans windbg (menu File+ Open Crash Dump…). Puis, je cherche mon processus (apisend.exe) responsable du 100% cpu en utilisant la commande «!process»:</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_2.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_2.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb.png" width=640 height=68 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb.png"></A> </P> <P>Nous obtenons donc l’adresse de notre processus cible. Nous pouvons utiliser la commande !process avec cette nouvelle information afin d’obtenir des informations détaillées :</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_4.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_4.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_1.png" width=639 height=804 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_1.png"></A> </P> <P>Nous constatons donc que le thread 81fc8290 a passé 7 minutes et 33 secondes en mode kernel. Sachant que l’application venait d’être lancée quelques minutes avant la génération du dump, cela semble effectivement important.</P> <P>Maintenant, concentrons-nous sur la trace xperf. Je lance donc xperfview.exe, ouvre le fichier cpu.etl et me concentre sur la vue « CPU Sampling by Thread » :</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_8.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_8.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_3.png" width=636 height=210 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_3.png"></A> </P> <P>Nous constatons bien que l’utilisation cpu est correcte pendant un moment puis passe en 100% cpu. Si je sélectionne une plage pendant cette période de 100% et fais un clique droit + « Summary Table ». J’obtiens les informations suivantes :</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_10.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_10.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_4.png" width=639 height=171 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_4.png"></A> </P> <P>Il est maintenant clair que 99.06% du temps cpu est utilisé par apisend.exe. Nous pouvons récupérer plus d’informations en cliquant sur la croix devant notre nom de processus :</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_12.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_12.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_5.png" width=638 height=171 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_5.png"></A> </P> <P>Nous obtenons ainsi la distribution du temps cpu par composant. Cette vue nous indique que 98.37% du temps cpu s’est effectué dans win32k.sys. Nous sommes donc bien en mode kernel et notre problème a un rapport avec le GDI.</P> <P>Nous pouvons continuer la même démarche et descendre dans le détail des fonctions utilisées par win32k.sys en cliquant sur la croix dans la colonne « Function ». Nous obtenons ainsi :</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_14.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_14.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_6.png" width=641 height=171 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_6.png"></A> </P> <P>Le/les appels à la fonction à l’adresse 0xbf876531 consomme(nt) 79.97% de notre temps cpu. Nous pouvons maintenant utiliser cette adresse à partir du kernel dump pour trouver notre coupable (ou victime).</P> <P><A href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_16.png" mce_href="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_16.png"><IMG style="BORDER-BOTTOM: 0px; BORDER-LEFT: 0px; BORDER-TOP: 0px; BORDER-RIGHT: 0px" border=0 alt=image src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_7.png" width=646 height=58 mce_src="http://blogs.technet.com/blogfiles/windowsinternals/WindowsLiveWriter/COMMENTresoudreun100cpukernel_A559/image_thumb_7.png"></A> </P> <P>Le débogueur nous indique que nous sommes dans du code ayant un rapport avec les Timers Windows. Les Timers sont bien gérés par la partie GDI (win32k.sys).</P> <P>La situation est donc la suivante : cette application utilise des timers pour effectuer certaines tâches et, après quelques minutes, l’utilisation de ces Timers entraine un 100% cpu. </P> <P>Pour aller plus loin, il nous faut donc comprendre ce que fait cette application et obtenir les morceaux de code concernant la manipulation des Timers. </P> <P><B><U>Conclusion</U></B></P> <P>Après analyse du code, nous avons apporté 2 modifications :</P> <P>1- Le code était implémenté de telle manière qu’en cas d’erreur d’accès aux données, le Timer crée (pour effectuer une annulation de la requête de manière asynchrone) n’était jamais détruit. Nous avons donc ajouté un KillTimer() en cas d’erreur.</P> <P>2- Lors de l’appel du handler de Timer, celui-ci n’était détruit que juste avant de quitter ce handler. Nous avons modifié cette implémentation afin de détruire le handler le plus tôt possible pour éviter des problèmes de réentrance si jamais le code (ODBC) devait prendre plus de temps que la durée du Timer lui-même.</P> <P>Une fois ces 2 modifications apportées, l’application et le serveur se sont mis à fonctionner parfaitement bien.</P> <P><B><U>Epilogue</U></B></P> <P>Xperf est vraiment un outil extrêmement puissant. Il me parait indispensable de savoir l’utiliser. Xperf <B>EST</B> l’outil standard de tracing pour Windows Vista, Windows 2008 et les prochaines versions d’OS. Xperf peut être utilisé (pour la partie Kernel) sous Windows 2003 et Windows XP mais ne s’installera pas sur ces plateformes. Il faudra donc l’installer sur un Vista ou un 2008 puis copier l’intégralité du répertoire sur 2003 ou XP.</P> <P>Merci de m’avoir lu jusqu’ici :-)</P> <P><FONT color=#808080 size=2>Hervé Chapalain</FONT></P> <P><FONT color=#808080 size=2>Windows Core Escalation Engineer</FONT></P><img src="http://blogs.technet.com/aggbug.aspx?PostID=3136288" width="1" height="1">Herv&#233;NT Debugging