[решено] Как самостоятельно определить сбойный драйвер с помощью дампа памяти?

[Alfacentavra]

Хочу научится сам определяить этот чертов драйвер. Читаю инструкцию по установке диагностических средств ничего не могу понять.

Шаг 2
- Загрузите и установите Debugging Tools for Windows. УСТАНОВИЛ.
- Загрузите сценарий (kdfe.cmd).Распакуйте архив в любую папку. РАСПОКОВАЛ.

Шаг 3
Анализ дампа памяти
Теперь все сводится к выполнению одной команды. Откройте командную строку и перейдите в папку, в которую вы распаковали kdfe.cmd. Запустите файл, указав в качестве параметра путь к файлу дампа памяти (в примере ниже файл называется Mini1110307-01.dmp)

kdfe.cmd "%systemroot%\Minidump\Mini1110307-01.dmp"
Через минуту вы увидите результат.

Мля, как перейти в командной строке в эту папку где я распоковал kdfe.cmd? Как запускать файл?

[Blast]

как перейти в командной строке в эту папку где я распоковал kdfe.cmd? »
cd /d c:\folder1\folder2 Как запускать файл? »
kdfe.cmd Mini1110307-01.dmp

или указывать путь сразу c:\folder1\folde2\kdfe.cmd "%systemroot%\Minidump\Mini1110307-01.dmp"

[Alfacentavra]

Цитировать »

Ок, перешел в папку.
Вставил в командную строку для запуска своё
kdfe.cmd Mini112208-01.dmp

Выдает следующее:
ERROR: Сannot find required file ‘C:\Program Files\Debugging Tools for Windows<i86>\kd.exe’

Это что за хрень?

Инсталировал до этого себе Debugging Tools for Windows 32-bit Version
Current Release version 6.10.3.233 - November 18, 2008

Может кто-нибудь помочь?

[Ment69]

Как определить драйвер? » Вопрос о драйверах оформлять в виде VEN_ХХХХ&DEV_ХХХХ эти значения можно найти на закладке "сведения" в свойствах устройства, в диспетчере устройств.

[Alfacentavra]

да, подскажите просто как работать в командной строке вданном случае. Зачем усложнять!

[Blast]

Мля »
Это что за хрень? »
попроще с выражениями

поместите kd.exe туда же где kdfe.cmd и пропишите путь в файле kdfe.cmd в соответствующей строке

[Alfacentavra]

Согласно этой инструкции :
http://vadikan.spaces.live.com/blog/cns!3270464DC78ABAEE!454.entry

Я инсталировал Debugging Tools for Windows.
Сейчас находится в папке C:\Program Files\Debugging Tools for Windows (x86)
Там же находится kd.exe.
Распаковал сценарий архив с kdfe.cmd. Положил в F:\install

Загружаю командную троку.
Перешел в папку cd /d F:\Install
Прописываю дальше kdfe.cmd Mini112208-01.dmp
Выдает следующее:
ERROR: Сannot find required file ‘C:\Program Files\Debugging Tools for Windows<i86>\kd.exe’

Файл kd.exe есть и C:\Program Files\Debugging Tools for Windows (x86)
И на F:\Install

Что я делаю не так?

[Severny]

Debugging Tools for Windows (x86) »
Переименуй в Debugging Tools for Windows

[Alfacentavra]

Да тоже самое.
Тем более что указано:
Последняя на июнь 2008 г версия Debugging Tools for Windows устнавливается в папку %programfiles%\Debugging Tools for Windows (x86). Именно эта папка теперь указана в параметре dbgpath сценария.
Я на всякий случай установил Debugging Tools for Windows более ранеей версии которая создает папку "Debugging Tools for Windows". Результат тотже.

Может я неправильно выполняю действия? Вот из инструкции:
Шаг 3 - Анализ дампа памяти
Теперь все сводится к выполнению одной команды. Откройте командную строку и перейдите в папку, в которую вы распаковали kdfe.cmd.
Запустите файл, указав в качестве параметра путь к файлу дампа памяти (в примере ниже файл называется Mini1110307-01.dmp)

Как правильно запускать файл, где в качестве параметра вводить путь к файлу?

[Vadikan]

Alfacentavra, поиском в файле найдите строку, начинающуюся с
set dbgpath=
и убедитесь, что там указан правильно путь (с кавычками и к существующему файлу).
set dbgpath="C:\Program Files\Debugging Tools for Windows (x86)"

Судя по тексту вашей ошибки, путь прописан неправильно.ERROR: Сannot find required file ‘C:\Program Files\Debugging Tools for Windows<i86>\kd.exe’ »

[Alfacentavra]

Зашел в файл kdfe.cmd, там числится это (Принтскрин прикладываю).
Если это путь, то там именно стоит
set dbgpath="C:\Program Files\Debugging Tools for Windows (x86)"

[Vadikan]

Alfacentavra, я добавил условия и перезалил файл. Попробуйте еще раз. http://tools.oszone.net/Vadikan/files/kdfe.zip

[Alfacentavra]

Я удалил старый kdfe и распоковал и разместил этот новый. Теперь такая ошибка:
См. принтскрин.
Моежет я что то всеже не то делаю?
Запускаю Пуск/cmd потом ввожу cd /d F:\Install
ввод
kdfe.cmd Mini112208-01.dmp
ввод

P.S.Kdfe находится в папке F:\Install

[Vadikan]

Alfacentavra, я не знаю, что вы там делаете... Послеcd /d F:\Install
ввод »
введите dir и ввод и скопируйте вывод окна в сообщение...

Я только что поставил 32-разрядную версию на виртуалку, запустил командную строку, выполнил команду и все сработало. Может вы просто прикрепите дамп, а мы его проанализируем?

[Severny]

Тебе в "Сетевую безопасность" не лишним будет обратиться.
Или kdfe.cmd не докачан.

[Alfacentavra]

Нет, теперь все получилось, наверное что-то не внимательно делал все же.
Выражаю большую благодарность всем участвующим и сочувствующим в особенности Vadikan!
Другие то конечно могут проанализировать, было важно научится самому это делать.
Перелил в другую папку и все очередной раз перезапустил и все ок.
Вот результат, какой то Sandbox. sys

[Severny]

Sandbox. sys »
Outpost. Или конфликт, или вирус.

[Alfacentavra]

Да скорее всего это был конфликт у меня сос тороны Outpost, машина новая, сейчас посмотрел мне поставили Eset smart Security, а я еще сверху свой Аntivir и Outpost, зашел посмотреть в этот Esert, а там какраз сегодняшняя ошибка на невозможность связаться с сервером для обновления, т.е. это Oupost мой ругнулся, нельзя несколько антивирусных прог держать сразу.
Но это уже офтопик.

[UQAT]

Сорри что пишу в этой теме т.к не могу создать собственную,пытался сам узнать какой драйвер не исправен с помощью Debugging Tools for Windows(установил я его и сценарий скачал)но он мнепишет попей кофе и попробуй ещё раз,раз 20 пробовал ни фига.пожалуйста помогите определить что за дровки

[Severny]

UQAT,

Microsoft (R) Windows Debugger Version 6.10.0003.233 X86
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\dump\Minidump\Mini112608-02.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: C:\symbols
Executable search path is: C:\symbols
Unable to load image \SystemRoot\system32\ntkrnlpa.exe, Win32 error 0n2
*** WARNING: Unable to verify timestamp for ntkrnlpa.exe
*** ERROR: Module load completed but symbols could not be loaded for ntkrnlpa.exe
Windows Server 2008/Windows Vista SP1 Kernel Version 6001 (Service Pack 1) MP (4 procs) Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Machine Name:
Kernel base = 0x81a00000 PsLoadedModuleList = 0x81b17c70
Debug session time: Wed Nov 26 16:01:42.105 2008 (GMT+3)
System Uptime: 0 days 2:54:47.969
Unable to load image \SystemRoot\system32\ntkrnlpa.exe, Win32 error 0n2
*** WARNING: Unable to verify timestamp for ntkrnlpa.exe
*** ERROR: Module load completed but symbols could not be loaded for ntkrnlpa.exe
Loading Kernel Symbols
...............................................................
................................................................
.................
Loading User Symbols
Loading unloaded module list
........
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck 101, {30, 0, 803d1120, 1}

*** WARNING: Unable to verify timestamp for sptd.sys
*** ERROR: Module load completed but symbols could not be loaded for sptd.sys
*** WARNING: Unable to verify timestamp for CLASSPNP.SYS
*** ERROR: Module load completed but symbols could not be loaded for CLASSPNP.SYS
***** Kernel symbols are WRONG. Please fix symbols to do analysis.

*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************
*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************
*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************
Probably caused by : ntkrnlpa.exe

Followup: MachineOwner
---------

0: kd> !analyze -v
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************

CLOCK_WATCHDOG_TIMEOUT (101)
An expected clock interrupt was not received on a secondary processor in an
MP system within the allocated interval. This indicates that the specified
processor is hung and not processing interrupts.
Arguments:
Arg1: 00000030, Clock interrupt time out interval in nominal clock ticks.
Arg2: 00000000, 0.
Arg3: 803d1120, The PRCB address of the hung processor.
Arg4: 00000001, 0.

Debugging Details:
------------------

***** Kernel symbols are WRONG. Please fix symbols to do analysis.

*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************
*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************
*************************************************************************
*** ***
*** ***
*** Your debugger is not using the correct symbols ***
*** ***
*** In order for this command to work properly, your symbol path ***
*** must point to .pdb files that have full type information. ***
*** ***
*** Certain .pdb files (such as the public OS symbols) do not ***
*** contain the required information. Contact the group that ***
*** provided you with these symbols if you need this command to ***
*** work. ***
*** ***
*** Type referenced: nt!_KPRCB ***
*** ***
*************************************************************************

MODULE_NAME: nt

FAULTING_MODULE: 81a00000 nt

DEBUG_FLR_IMAGE_TIMESTAMP: 47918b12

BUGCHECK_STR: CLOCK_WATCHDOG_TIMEOUT_4_PROC

CUSTOMER_CRASH_COUNT: 2

DEFAULT_BUCKET_ID: WRONG_SYMBOLS

CURRENT_IRQL: 0

STACK_TEXT:
WARNING: Stack unwind information not available. Following frames may be wrong.
81af58bc 81ab8321 00000101 00000030 00000000 nt+0xcd163
81af58f0 81ab802d 93ef601b 000000d1 81af59b0 nt+0xb8321
81af5900 81ab7cc0 badb0d00 81af8920 81dd0cc9 nt+0xb802d
81af59b0 8061fb3e 8061f982 81af59c8 00040000 nt+0xb7cc0
81af5a00 8062026a 0000001f 8061f84e 81af5a24 sptd+0x14b3e
81af5a30 8061a5e3 01000001 85baba38 85a53728 sptd+0x1526a
81af5a48 8061bf6d 00000103 85bfffb0 85410008 sptd+0xf5e3
81af5a74 8061e8c4 85bab980 81af5acc 8061b8ec sptd+0x10f6d
81af5ad4 85718210 85718008 81af5ae4 00000000 sptd+0x138c4
81af5afc 87dbf264 85b53b70 85bfff90 85b53ab8 0x85718210
81af5b10 87dbf45d 85b53b70 85bfffa8 00000000 CLASSPNP+0x4264
81af5b28 87dbf2af 85b53b70 85a71324 81b34cc0 CLASSPNP+0x445d
81af5b48 81a3a598 85b53ab8 00000000 81af5bb8 CLASSPNP+0x42af
81af5b68 81ab6d00 81b34ca0 02b34c44 1e5c88d4 nt+0x3a598
81af5c88 81ab68c0 81af5cd0 8583f502 81af5cd8 nt+0xb6d00
81af5ce8 81ab6483 00000000 00000000 000a3d0b nt+0xb68c0
81af5d50 81ab4f9d 00000000 0000000e 00000000 nt+0xb6483
81af5d54 00000000 0000000e 00000000 00000000 nt+0xb4f9d


STACK_COMMAND: .bugcheck ; kb

FOLLOWUP_NAME: MachineOwner

IMAGE_NAME: ntkrnlpa.exe

BUCKET_ID: WRONG_SYMBOLS

Followup: MachineOwner
---------