[CODE highlight="3"]PAGE_FAULT_IN_NONPAGED_AREA (50)
Invalid system memory was referenced. This cannot be protected by try-except.
Typically the address is just plain bad or it is pointing at freed memory.
Arguments:
Arg1: ffffd50b035d7570, memory referenced.
Arg2: 0000000000000002, value 0 = read operation, 1 = write operation.
Arg3: fffff8068a82911a, If non-zero, the instruction address which referenced the bad memory.
address.
Arg4: 0000000000000002, (reserved)
[/CODE]
Kod:
TRAP_FRAME: ffffd50b0b5d6f40 -- (.trap 0xffffd50b0b5d6f40)
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=6b3f811217d8659a rbx=0000000000000000 rcx=ffffd50b0b5d7518
rdx=ffffffffffffffff rsi=0000000000000000 rdi=0000000000000000
rip=fffff8068a82911a rsp=ffffd50b0b5d70d0 rbp=ffffd50b0b5d76b8
r8=ffffd50b0b5d75f0 r9=ffffd50b0b5d7518 r10=00002af4f4a28977
r11=ffffd50b035d7570 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0 nv up ei pl nz na pe nc.
vgk+0x111911a:
fffff806`8a82911a 498903 mov qword ptr [r11],rax ds:ffffd50b`035d7570=????????????????
Vanguard'ın referans verdiği adrese ve kendi adreslerine dikkat et, hataya Vanguard sebep olmuş. Arg3 kısmındaki
If non-zero, the instruction address which referenced the bad memory ibaresi ve ilgili adresin çökme anındaki Vanguard'da olması da cabası.
[CODE highlight="7.11"]3: kd> k
# Child-SP RetAddr Call Site.
00 ffffd50b`0b5d6c98 fffff806`6ae3ba7d nt!KeBugCheckEx
01 ffffd50b`0b5d6ca0 fffff806`6ac24660 nt!MiSystemFault+0x1d851d
02 ffffd50b`0b5d6da0 fffff806`6ae0d358 nt!MmAccessFault+0x400
03 ffffd50b`0b5d6f40 fffff806`8a82911a nt!KiPageFault+0x358
04 ffffd50b`0b5d70d0 6b3f8112`17d8659a vgk+0x111911a
05 ffffd50b`0b5d70d8 00000000`00000001 0x6b3f8112`17d8659a
06 ffffd50b`0b5d70e0 00000000`00000000 0x1.
SYMBOL_NAME: vgk+111911a
MODULE_NAME: vgk.
IMAGE_NAME: vgk.sys
[/CODE]
Trap'teki Vanguard'ın referans verdiği adresteki sayfa girdilerini kontrol edersek, adresin geçersiz bir durumda olduğunu görürüz.
Kod:
3: kd> !pte ffffd50b035d7570.
VA ffffd50b035d7570.
PXE at FFFFB0582C160D50 PPE at FFFFB0582C1AA160 PDE at FFFFB0583542C0D0 PTE at FFFFB06A8581AEB8.
contains 0A0000047A176863 contains 0A0000047A177863 contains 0000000000000000.
pfn 47a176 ---DA--KWEV pfn 47a177 ---DA--KWEV contains 0000000000000000.
not valid.
Bu durum, Vanguard'ın referans verdiği adresin geçersiz duruma düşmesi sebebiyle bir pagefault sonrası sistem çökmesi ve ardından mavi ekran oluşması ile açıklanabiliyor. Çağrı yığınını da kontrol edersen görürsün. Vanguard'ı kaldırabilir ya da tek seferlik bir şey ise görmezden gelebilirsin bu durumu.