怎么会发生？ （在调试minidump文件中）

时间：2013-05-06 14:27:38

标签： debugging crash windbg crash-reports

我正在跟踪dmp文件，这似乎是崩溃调用破坏对象实例的虚函数。

似乎破坏的对象指针的vft指向错误的地址（0x3822a497）并且程序在call edx到0x3822a497（LAST_CONTROL_TRANSFER: from 00ccde67 to 3822a497）之后立即崩溃，并且指令指针（ EIP）甚至无法更进一步。那么，不应该是edx=0x3822a497吗？但Visual Studio和Windbg都表示edx=0x1e4dcc0。

有人可以解释一下它会怎么样？

编辑：我过分信任LAST_CONTROL_TRANSFER，但仍然存在神秘感。请先看看下面更新的假设1,2,3并给我一个可能的情况。

windbg的结果！分析-v 

Failed calling InternetOpenUrl, GLE=12029
FAULTING_IP: 
+8cde67
3822a497 006e00          add     byte ptr [esi],ch
EXCEPTION_RECORD:  ffffffff -- (.exr 0xffffffffffffffff)
ExceptionAddress: 3822a497
   ExceptionCode: c0000005 (Access violation)
  ExceptionFlags: 00000000
NumberParameters: 2
   Parameter[0]: 00000001
   Parameter[1]: 0138d2cc
Attempt to write to address 0138d2cc
PROCESS_NAME:  DDD.exe
ADDITIONAL_DEBUG_TEXT:  
Use '!findthebuild' command to search for the target build information.
If the build information is available, run '!findthebuild -s ; .reload' to set symbol path and load symbols.
FAULTING_MODULE: 76df0000 kernel32
DEBUG_FLR_IMAGE_TIMESTAMP:  518275c9
MODULE_NAME: DDD
ERROR_CODE: (NTSTATUS) 0xc0000005 - 0x%08lx
EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - 0x%08lx
EXCEPTION_PARAMETER1:  00000001
EXCEPTION_PARAMETER2:  0138d2cc
WRITE_ADDRESS:  0138d2cc 
FOLLOWUP_IP: 
DDD+8cde67
00ccde67 ??              ???
FAILED_INSTRUCTION_ADDRESS: 
+591b2faf0239d8f4
3822a497 006e00          add     byte ptr [esi],ch
MOD_LIST: <ANALYSIS/>
FAULTING_THREAD:  00000650
BUGCHECK_STR:  APPLICATION_FAULT_BAD_INSTRUCTION_PTR_INVALID_POINTER_WRITE_WRONG_SYMBOLS
PRIMARY_PROBLEM_CLASS:  BAD_INSTRUCTION_PTR
DEFAULT_BUCKET_ID:  BAD_INSTRUCTION_PTR
LAST_CONTROL_TRANSFER:  from 00ccde67 to 3822a497
STACK_TEXT:  
WARNING: Frame IP not in any known module. Following frames may be wrong.
0018cfe0 00ccde67 1a75cb52 00000000 28e86c00 0x3822a497
0018cfe4 1a75cb52 00000000 28e86c00 00000011 DDD+0x8cde67
0018cfe8 00000000 28e86c00 00000011 29b52260 0x1a75cb52

STACK_COMMAND:  ~0s; .ecxr ; kb
SYMBOL_STACK_INDEX:  1
SYMBOL_NAME:  DDD+8cde67
FOLLOWUP_NAME:  MachineOwner
IMAGE_NAME:  DDD.exe
BUCKET_ID:  WRONG_SYMBOLS
FAILURE_BUCKET_ID:  BAD_INSTRUCTION_PTR_c0000005_DDD.exe!Unknown
WATSON_STAGEONE_URL:  http://watson.microsoft.com/...
Followup: MachineOwner
---------
0:000>

windbg .excr

的结果 
0:000> .ecxr
eax=0018d0c8 ebx=78b3b6a8 ecx=00cddb00 edx=01e4dcc0 esi=0138d2cc edi=0018cfc8
eip=3822a497 esp=0018cfe4 ebp=00000002 iopl=0         nv up ei ng nz na po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00210282
3822a497 006e00          add     byte ptr [esi],ch          ds:002b:0138d2cc=??

windbg r的结果

Last set context:
eax=0018d0c8 ebx=78b3b6a8 ecx=00cddb00 edx=01e4dcc0 esi=0138d2cc edi=0018cfc8
eip=3822a497 esp=0018cfe4 ebp=00000002 iopl=0         nv up ei ng nz na po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00210282
3822a497 006e00          add     byte ptr [esi],ch          ds:002b:0138d2cc=??

LAST_CONTROL_TRANSFER之前的反汇编：从00ccde67到3822a497 

current_time = timeGetTime();
00CCDE34  call        dword ptr [__imp__timeGetTime@0 (17EE5FCh)]  
(*it)->proc();
00CCDE3A  mov         eax,dword ptr [ebx]  
00CCDE3C  test        eax,eax  
00CCDE3E  je          00CCDFFE  
00CCDE44  test        edi,edi  
00CCDE46  je          00CCDFFE  
00CCDE4C  cmp         dword ptr [eax+4],edi  
00CCDE4F  ja          00CCDFFE  
00CCDE55  cmp         edi,dword ptr [eax+8]  
00CCDE58  jae         00CCDFFE  
00CCDE5E  mov         ecx,dword ptr [edi]  
00CCDE60  mov         eax,dword ptr [ecx]  
00CCDE62  mov         edx,dword ptr [eax+0Ch]  
00CCDE65  call        edx
00CCDE67  push        0

修改

哦，我忘了把堆叠状态。

堆栈（esp = 0x18cfe4）

0x0018CFA4  00000000 00000000 00000000 00000000  ................
0x0018CFB4  00000000 00000000 00000000 00000000  ................
0x0018CFC4  00000000 fffffd34 000002e4 fffffd34  ....4?..?...4?..
0x0018CFD4  000002cc 00000019 00000000 0018d0c8  ?...........??..
0x0018CFE4 >00ccde67 1a75cb52 00000000 28e86c00  g??.R?u......l?(
0x0018CFF4  00000011 29b52260 00000000 78b3c718  ....`"?).....??x
0x0018D004  29b522a0 00000000 78b3b6ac 29b522a0  ?"?)....???x?"?)
0x0018D014  00000000 78b3b6a8 1a75cb52 00000140  ....???xR?u.@...
0x0018D024  01e4f688 1a75cb52 0018d050 0170d884  ???.R?u.P?..??p.
0x0018D034  ffffffff 0018d05c 0098ec41 1a75cb36  ....\?..A??.6?u.

在eip（0x3822A497）

周围进行反汇编 
3822A490 54                   push        esp  
3822A491 00                   db          00h  
3822A492 65                   db          65h  
3822A493 00 72 00             add         byte ptr [edx],dh  
3822A496 61                   popad  
3822A497 00 6E 00             add         byte ptr [esi],ch  
3822A49A 69 00 74 00 65 00    imul        eax,dword ptr [eax],650074h

eip（0x3822A497）

周围的内存转储 
0x3822A480  55da14f5 80000000 00001e08 00000024  ?.?U........$...
0x3822A490  00650054 00610072 0069006e 00650074  T.e.r.a.n.i.t.e.
0x3822A4A0  004e0020 00630065 006c006b 00630061   .N.e.c.k.l.a.c.
0x3822A4B0  00000065 4d747cba 55da14f2 80000000  e...?|tM?.?U....

显然这不是有效的说明，而是宽字符文字。 xwlan说，我认为被调用者很可能会打破edx信息。 （而且我认为LAST_CONTROL_TRANSFER是某种可靠的信息。它只显示eip的最后一个callstack条目

但我的假设仍然没有意义。有人可以制作一个有意义的场景吗？

假设1：指令在0x3822A497之前跳转并执行popad

我认为这最有意义。 （例如，可以跳过一些间接跳转/调用指向文本缓冲区0x3822A490）

的指针

如果是，则执行popad，从堆栈中弹出EDI, ESI, EBP, EBX, EDX, ECX, and EAX。 那为什么我不能从堆栈中找到这些寄存器的值？ 例如，如果是这样，我不应该在0x00000002 (ebp)附近的堆栈中看到0x01e4dcc0 (edx)，0x0018CFE4 (esp)吗？

假设2：被调用者不是0x3822A497，指令正好跳到0x3822A497

我认为这是非常罕见的情况。 如果通过间接调用/ jmp跳转，则没有任何内容指向0x3822A497这是奇数， 如果通过相对调用/ jmp跳转，则调用指令将接近0x3822A497， 但是当我从0x3822A497附近的每个点进行反汇编时，我找不到这样的相对调用 因为它有##，00，##，00，##宽字符文本模式， 最可能的跳转指令跳转到下一个指令指针，例如：

3822A494 72 00              > jb          3822A496  
3822A496 61                   popad  
3822A497 00 6E 00             add         byte ptr [esi],ch

假设3：Callee是0x3822A497

那么为什么edx不是0x3822A497。 （第一个问题）

2 个答案:

答案 0 :(得分：1)

你对调用堆栈过于信任，你可能在这里错过了一个框架（可能是某种与FPO相关的工件）。我怀疑EDX不是坏EIP，它持有有效函数的地址，最终设置了无效的EIP。

如果我是你，我会在崩溃时重建EDX，看看它是什么功能。然后你可以试着弄清楚该功能可能对垃圾EIP做了什么（可能是堆栈溢出）。如果你感到幸运/懒惰，你可能希望EDX保持不受干扰，看看是什么，“uf @edx”可以帮到你。

答案 1 :(得分：0)

看起来像堆栈损坏，“esp = 0018cfe4 ebp = 00000002”，ebp显然是一个糟糕的价值。 我建议检查代码“00CCDE65 call edx”，edx看起来像是指向一个虚函数，这个函数和它的被调用者会破坏堆栈。 windbg中的dds esp可以帮助转储当前堆栈内存以检查是否存在任何可疑值，例如任何字符串？

相关问题
最新问题