[avi81]

нужна ли еще какая нибудь информация?

[ruslan...]

avi81,

В самом раннем дампе подозрение на C:\Windows\SysWOW64\rserver30\raddrvv3.sys
Попробуйте удалить Radmin и проверить наличие проблемы.


По остальным двум дампам, как бы ссылка в шапке темы.
Но я бы рекомендовал очистить контакты планки памяти ластиком.
Проверить проблему поставив дискретную видеокарту.

[__sa__nya]

Доброе время суток. Имеется Windows Server 2008 R2 Std, роли FTP (filezilla), DNS, Kaspersky Security Center. За последние 3 месяца было 2 BSOD'a вышеуказанных в теме. Вот дамп памяти последнего. Я там увидел только fltmgr.sys, погуглив увидел что это фильтр файловой системы, мне это никаких зацепок не дает. Гляньте пожалуйста, что еще есть в дампе, может то что не увидел я.

[mwz]

__sa__nya, покажите на всякий случай SMART винчестера.

[__sa__nya]

mwz, Во вложении. По 1-му диску я вижу 2 Remap'а, но, думаю что это не критично за столько лет работы. Или думаете поменять ?

[mwz]

но, думаю что это не критично за столько лет работы »

Ну это смотря когда они возникли... Если давно — то некритично, если же именно при их появлении "За последние 3 месяца было 2 BSOD'a..."

Надо проверить снова через некоторое время.

[__sa__nya]

mwz, а дамп на что ссылается кроме fltmgr.sys ?

PS: диск заменил, не стал ждать.

[mwz]

дамп на что ссылается »

По дампам, увы, я не спец...

[skrnn]

__sa__nya

Скрытый текст

Стек первого ядра.
STACK_TEXT:
fffff880`025f08b0 fffff880`00c3e331 : fffffa80`04ab3010 00000000`00000706 fffff8a0`02a30140 00000000`00000000 : fltmgr! ?? ::NNGAKEGL::`string'+0xf1e
fffff880`025f08e0 fffff880`00c3e41b : fffffa80`04ab3010 fffff8a0`02a303a8 fffffa80`04ab3010 00000000`00000000 : fltmgr!CleanupStreamListCtrl+0x21
fffff880`025f0920 fffff800`0211cc2e : 00000000`00000001 00000000`00000706 fffff880`025f0a28 fffff800`01e9f6e7 : fltmgr!DeleteStreamListCtrlCallback+0x6b
fffff880`025f0950 fffff880`01ab6b4f : fffff8a0`02a30140 fffffa80`04508040 fffff880`025f0a28 00000000`00000705 : nt!FsRtlTeardownPerStreamContexts+0xe2
fffff880`025f09a0 fffff880`01abadbb : 00000000`01010000 fffff8a0`02a30040 00000000`00000000 00000000`00000028 : Ntfs!NtfsDeleteScb+0xff
fffff880`025f09e0 fffff880`01a34263 : fffff8a0`175b2030 fffff8a0`02a30140 00000000`00000000 fffff880`025f0b52 : Ntfs!NtfsRemoveScb+0x5b
fffff880`025f0a20 fffff880`01ab8b1c : fffff8a0`02a30010 fffff800`020587a0 fffff880`025f0b52 fffffa80`0eaf51a0 : Ntfs!NtfsPrepareFcbForRemoval+0x53
fffff880`025f0a50 fffff880`01a3bb42 : fffffa80`0eaf51a0 fffffa80`0eaf51a0 fffff8a0`02a30010 00000000`00000000 : Ntfs!NtfsTeardownStructures+0xdc
fffff880`025f0ad0 fffff880`01ac8423 : fffffa80`0eaf51a0 fffff800`020587a0 fffff8a0`02a30010 00000000`00000009 : Ntfs!NtfsDecrementCloseCounts+0xa2
fffff880`025f0b10 fffff880`01b1b7a2 : fffffa80`0eaf51a0 fffff8a0`02a30140 fffff8a0`02a30010 fffffa80`0586c180 : Ntfs!NtfsCommonClose+0x353
fffff880`025f0be0 fffff800`01e76b39 : 00000000`00000000 fffff800`02058701 fffff800`020baf00 00000000`00000002 : Ntfs!NtfsFspCloseInternal+0x186
fffff880`025f0cb0 fffff800`02189890 : e8cb8b48`48558d48 fffff880`009c6180 00000000`00000080 00000000`00000001 : nt!ExpWorkerThread+0x111
fffff880`025f0d40 fffff800`01ee1ba6 : fffff880`009c6180 fffffa80`04508040 fffff880`009d50c0 00000000`00000000 : nt!PspSystemThreadStartup+0x194
fffff880`025f0d80 00000000`00000000 : fffff880`025f1000 fffff880`025eb000 fffff880`025f09e0 00000000`00000000 : nt!KxStartSystemThread+0x16


Система находится в ожидании ответа от другого ядра с которым нет синхронизации.

THREAD fffffa8004504040 Cid 0004.0010 Teb: 0000000000000000 Win32Thread: 0000000000000000 WAIT: (Executive) KernelMode Non-Alertable
fffff80002063aa0 SynchronizationEvent

THREAD fffffa8004504b50 Cid 0004.0014 Teb: 0000000000000000 Win32Thread: 0000000000000000 WAIT: (Executive) KernelMode Non-Alertable
fffff800020640c0 Semaphore Limit 0x7fffffff

THREAD fffffa8004504660 Cid 0004.0018 Teb: 0000000000000000 Win32Thread: 0000000000000000 WAIT: (Executive) KernelMode Non-Alertable
fffff800020640c0 Semaphore Limit 0x7fffffff

THREAD fffffa8004515b50 Cid 0004.001c Teb: 0000000000000000 Win32Thread: 0000000000000000 WAIT: (Executive) KernelMode Non-Alertable
fffff880025b1350 NotificationEvent

0 errors : !Ntfs <--- Ошибок диска нет.

Мы видим, что во время краха в первом ядре работали процессы Касперского avp.exe и klfc.exe.


Вот работа другого ядра.
STACK_TEXT:
fffff880`052d5ae0 fffff800`02130b65 : fffff880`052d5c00 fffffa80`00100000 00000000`00000000 fffff800`01edc601 : nt!ObReferenceObjectByHandleWithTag+0x5d
fffff880`052d5bb0 fffff800`01ee9bd3 : fffffa80`070d7640 00000000`000002a8 fffff880`052d5bf8 00000000`00000000 : nt!NtWaitForSingleObject+0x95 <--- Ядро висит
fffff880`052d5c20 00000000`74832e09 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13 (TrapFrame @ fffff880`052d5c20)
00000000`00beeaa8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x74832e09


DeviceMap fffff8a00409d5b0
Owning Process fffffa800708bb00 Image: klcsweb.exe <--- Процесс Касперского
Attached Process N/A Image: N/A
Wait Start TickCount 43468033 Ticks: 1 (0:00:00:00.015)
Context Switch Count 2363963 IdealProcessor: 0
UserTime 00:00:00.609
KernelTime 00:00:00.093
Win32 Start Address 0x000000007383345e
Stack Init fffff880052d5db0 Current fffff880052d5900
Base fffff880052d6000 Limit fffff880052d0000 Call 0
Priority 8 BasePriority 8 UnusualBoost 0 ForegroundBoost 0 IoPriority 2 PagePriority 5
Child-SP RetAddr : Args to Child : Call Site
fffff880`052d5ae0 fffff800`02130b65 : fffff880`052d5c00 fffffa80`00100000 00000000`00000000 fffff800`01edc601 : nt!ObReferenceObjectByHandleWithTag+0x5d
fffff880`052d5bb0 fffff800`01ee9bd3 : fffffa80`070d7640 00000000`000002a8 fffff880`052d5bf8 00000000`00000000 : nt!NtWaitForSingleObject+0x95
fffff880`052d5c20 00000000`74832e09 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13 (TrapFrame @ fffff880`052d5c20)
00000000`00beeaa8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x74832e09

Вот малая часть работы процесса klcsweb.exe.

fffffa80081c49e0 0000000000000000 0 File: \KLSHARE\Updates\updates\sw2\mod\swmon_drv.esm
fffffa80081c4d10 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\fulltext\v_extaud\_i.fnm
fffffa80081c5260 0000000000000000 0 File: \PerfLogs\Admin\WAN_work_time\NS_20170729-000245\DataCollector01.blg
fffffa80081c5790 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\FTServer\4bd8e9c4-3016-479e-aede-7fbb8d18fc81.package\storage\E7\E769CC0C9775DA62C7E3A54BE0866DD6
fffffa80081c5c40 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\FTServer\4bd8e9c4-3016-479e-aede-7fbb8d18fc81.package\storage\F9\F944248C632361BBFBD70207393AFB4C
fffffa80081c5f10 0000000000000000 0 File: \Windows\System32\catroot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\Package_134_for_KB4343900~31bf3856ad364e35~amd64~~6.1.1.5.cat
fffffa80081c6170 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\FTServer\4bd8e9c4-3016-479e-aede-7fbb8d18fc81.package\storage\FF\FFDF3BE2D2FFAC51594542760DBF16C8
fffffa80081c63d0 0000000000000000 0 File: \ProgramData\Kaspersky Lab\KES10SP1\Report\02\0000036C_objdt.dat
fffffa80081c6a60 0000000000000000 0 File: \KLSHARE\Updates\updates\kdb\i386\baseb07c.kdc
fffffa80081c7310 0000000000000000 0 File: \Program Files (x86)\Kaspersky Lab\Kaspersky Security Center\Taskpads\common.js
fffffa80081c7cc0 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\FTServer\4bd8e9c4-3016-479e-aede-7fbb8d18fc81.package\storage\60\60B69C0A88BF257E68B6218ABBF20972
fffffa80081c7f10 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\bases\downloadlink.19.vdb
fffffa80081c8010 0000000000000000 0 File: \KLSHARE\Updates\updates\kdb\i386\base120e.kdc
fffffa80081ca010 0000000000000000 0 File: \ProgramData\KasperskyLab\adminkit\1093\.working\fulltext\ev_event\_t7ppy.f0

Скачайте утилиту для удаления антивируса по этой ссылке и удалите его. https://support.kaspersky.ru/common/uninstall
hardlock.sys Thu Nov 30 20:12:07 2006 <--- Этот драйвер программы Aladdin HASP устаревший и не подходит для этой системы. Удалите.

BIOS Release Date 12/09/2010 Посмотрите нет ли обновлений.

[__sa__nya]

skrnn, спасибо за столь подробную расшифровку. Получается под подозрением антивирус и Сервер Администрирования Kaspersky Security Center, т.к. KSC удалить намного проблематичнее, начну с антивируса, может он "шалит".

PS: еще небольшая просьба. Если не сложно можете видео снять когда этот дамп анализируете ? Мне интересно посмотреть как вы эту информацию (предполагаемых "виновников") нашли, т.к. я так же пробовал анализировать в WinDbg, и не увидел эти файлы перед падением.