记一次 .NET 某埋线管理系统 崩溃分析

佳月金属制品厂

一：背景

1. 讲故事

经常有朋友跟我反馈，说看你的文章就像看天书一样，有没有一些简单入手的dump 让我们先找找感觉，哈哈，今天就给大家带来一篇入门级的案例，这里的入门是从 WinDbg 的角度来阐述的，这个问题如果你通过 记日志，分析代码 的方式，可能真的无法解决，不信的话继续往下看呗！
前段时间有位朋友微信上找到我，说他的程序崩溃了，也没找出是什么原因，然后就让朋友抓一个崩溃的dump让我看看。
二：WinDbg 分析

1. 崩溃原因在哪里

在 windbg 中有一个自动化的分析命令 !analyze -v 可以寻找到 miniDumpWriteDump 时塞入的 PMINIDUMP_EXCEPTION_INFORMATION 信息，结构如下：

1. typedef struct _MINIDUMP_EXCEPTION_INFORMATION {
2.   DWORD               ThreadId;
3.   PEXCEPTION_POINTERS ExceptionPointers;
4.   BOOL                ClientPointers;
5. } MINIDUMP_EXCEPTION_INFORMATION, *PMINIDUMP_EXCEPTION_INFORMATION;

复制代码

这个命令执行时间可能很长，要稍等片刻

1. 0:000> !analyze -v
2. *******************************************************************************
3. *                                                                             *
4. *                        Exception Analysis                                   *
5. *                                                                             *
6. *******************************************************************************
7. CONTEXT:  (.ecxr)
8. rax=0000000000000198 rbx=0000000000000001 rcx=0000000000000002
9. rdx=0000000039959600 rsi=0000000000000000 rdi=0000000039959600
10. rip=00007fffe1e4cba4 rsp=00000000010fc050 rbp=00000000010fc150
11. r8=0000000000000000  r9=000000003999b640 r10=0000000000000018
12. r11=00000000010fc020 r12=0000000000000000 r13=00000000010fc370
13. r14=000000004b727aa0 r15=0000000000000020
14. iopl=0         nv up ei pl nz na pe nc
15. cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00010202
16. igxelpicd64+0x1fcba4:
17. 00007fff`e1e4cba4 488b08          mov     rcx,qword ptr [rax] ds:00000000`00000198=????????????????
18. Resetting default scope
20. EXCEPTION_RECORD:  (.exr -1)
21. ExceptionAddress: 00007fffe1e4cba4 (igxelpicd64+0x00000000001fcba4)
22.    ExceptionCode: c0000005 (Access violation)
23.   ExceptionFlags: 00000000
24. NumberParameters: 2
25.    Parameter[0]: 0000000000000000
26.    Parameter[1]: 0000000000000198
27. Attempt to read from address 0000000000000198
29. PROCESS_NAME:  xxx.exe

复制代码

上面的崩溃点的汇编语句 mov rcx,qword ptr [rax] 说的非常清楚，访问0区的 0000000000000198 地址必然会是访问违例，接下来简单看一下汇编代码。

1. 0:000> ub igxelpicd64+0x00000000001fcba4
2. igxelpicd64+0x1fcb80:
3. 00007fff`e1e4cb80 418b09          mov     ecx,dword ptr [r9]
4. 00007fff`e1e4cb83 83f910          cmp     ecx,10h
5. 00007fff`e1e4cb86 0f83bb0a0000    jae     igxelpicd64+0x1fd647 (00007fff`e1e4d647)
6. 00007fff`e1e4cb8c 488d04cd21000000 lea     rax,[rcx*8+21h]
7. 00007fff`e1e4cb94 4803c1          add     rax,rcx
8. 00007fff`e1e4cb97 488d04c6        lea     rax,[rsi+rax*8]
9. 00007fff`e1e4cb9b 4885c0          test    rax,rax
10. 00007fff`e1e4cb9e 0f847c0c0000    je      igxelpicd64+0x1fd820 (00007fff`e1e4d820)

复制代码

从汇编代码看是一段 数组操作 的逻辑，捋汇编太累了，我们看下 igxelpicd64.dll 模块到底是谁写的，用 lmvm 观察下。

1. 0:000> lmvm igxelpicd64
2. Browse full module list
3. start             end                 module name
4. 00007fff`e1c50000 00007fff`e2cfe000   igxelpicd64   (export symbols)       igxelpicd64.dll
5.     Loaded symbol image file: igxelpicd64.dll
6.     Image path: C:\Windows\System32\DriverStore\FileRepository\iigd_dch.inf_amd64_ec5e4cdfcd3a62b8\igxelpicd64.dll
7.     Image name: igxelpicd64.dll
8.     Browse all global symbols  functions  data
9.     Timestamp:        Sat Jul 16 02:54:34 2022 (62D1B7EA)
10.     CheckSum:         010A00BB
11.     ImageSize:        010AE000
12.     File version:     31.0.101.3251
13.     Product version:  31.0.101.3251
14.     File flags:       0 (Mask 3F)
15.     File OS:          10004 DOS Win32
16.     File type:        2.8 Dll
17.     File date:        00000000.00000000
18.     Translations:     0409.04b0
19.     Information from resource tables:
20.         CompanyName:      Intel Corporation
21.         ProductName:      Intel HD Graphics Drivers for Windows(R)
22.         InternalName:     OpenGL
23.         OriginalFilename: ig7icd32
24.         ProductVersion:   31.0.101.3251
25.         FileVersion:      31.0.101.3251
26.         FileDescription:  OpenGL(R) Driver for Intel(R) Graphics Accelerator
27.         LegalCopyright:   Copyright (c) 1998-2018 Intel Corporation.

复制代码

从 OpenGL(R) Driver for Intel(R) Graphics Accelerator 来看原来是用来渲染 2D，3D 矢量图形的工具包哈，这东西太底层了，没玩过，不过有一点可以肯定的是这个 dll 是属于 Intel 的，那为什么会调用这个渲染功能呢？ 这就需要观察线程栈了。
2. 谁在调用渲染

崩溃有两个场景，一个是崩溃前，一个是崩溃后，要看崩溃前的线程栈我们一定要知道崩溃前的状况，这里用 .ecxr 命令切换，简化后如下：

1. 0:000> .ecxr ; k
2. rax=0000000000000198 rbx=0000000000000001 rcx=0000000000000002
3. rdx=0000000039959600 rsi=0000000000000000 rdi=0000000039959600
4. rip=00007fffe1e4cba4 rsp=00000000010fc050 rbp=00000000010fc150
5. r8=0000000000000000  r9=000000003999b640 r10=0000000000000018
6. r11=00000000010fc020 r12=0000000000000000 r13=00000000010fc370
7. r14=000000004b727aa0 r15=0000000000000020
8. iopl=0         nv up ei pl nz na pe nc
9. cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00010202
10. igxelpicd64+0x1fcba4:
11. 00007fff`e1e4cba4 488b08          mov     rcx,qword ptr [rax] ds:00000000`00000198=????????????????
12.   *** Stack trace for last set context - .thread/.cxr resets it
13. # Child-SP          RetAddr               Call Site
14. 00 00000000`010fc050 00007fff`e1e4c500     igxelpicd64+0x1fcba4
15. ...
16. 07 00000000`010fd430 00007fff`e503b788     igxelpicd64!DumpRegistryKeyDefinitions+0x11865
17. 08 00000000`010fd490 00000000`324147f6     opengl32!glReadPixels+0x88
18. ...
19. 0c 00000000`010fd6d0 00007ff7`f5a3185a     GSGlobeDotNet!GeoScene.Globe.GSOGlobe.ScreenToScene+0xa5
20. ...
21. 0e 00000000`010fe1b0 00007ff8`3285d810     System_Windows_Forms_ni!System.Windows.Forms.Control.OnMouseClick+0x9b
22. ...

复制代码

从线程栈看是用户点击了鼠标，进入了 GSGlobeDotNet.dll ，在读取像素的底层逻辑中抛了异常，然后到网上搜了一下，原来是绘制三维地球的工具包，这个
来源:https://www.cnblogs.com/huangxincheng/archive/2023/06/29/17513935.html
免责声明：由于采集信息均来自互联网，如果侵犯了您的权益，请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容，谢谢合作！