Ortada 2 AC çakışması diye bir durum yok. Bu kanıya nereden ve nasıl ulaştın bilmiyorum ama Total'inde yanlış bir düşünce olduğunu söyleyebilirim. Norton silinmesine de gerek yoktu. RAM problemi var bu dosyada.
Aşağıdaki çağrılar sistemin sanal adres - fiziksel adres eşleme kısmında görev alan fonksiyonları nitelendiriyorlar. Bunların işleyişi sırasında oluşan bir mavi ekran genelde Memory corrupt durumuyla sonuçlanıyor.
Kod:
1: kd> k
# Child-SP RetAddr Call Site.
00 ffffbf08`07563038 fffff801`41a123a9 nt!KeBugCheckEx
01 ffffbf08`07563040 fffff801`41a114fc nt!MiDeleteVa+0x69
02 ffffbf08`07563180 fffff801`41a08692 nt!MiWalkPageTablesRecursively+0x7c
03 ffffbf08`075631c0 fffff801`4195f917 nt!MiWalkPageTablesRecursively+0x12
04 ffffbf08`075631f0 fffff801`4195d846 nt!MiWalkPageTablesRecursively+0x297
05 ffffbf08`07563910 fffff801`41a124ec nt!MiWalkPageTablesRecursively+0x186
06 ffffbf08`07563fd0 fffff801`41a0d8ef nt!MiWalkPageTables+0x12c
07 ffffbf08`075641b0 fffff801`418326b4 nt!MiDeletePagablePteRange+0x32f
08 ffffbf08`07564348 fffff801`41830c65 nt!MiDeleteVad+0x3b4
09 ffffbf08`07564420 fffff801`41916d9d nt!RtlpHpVsContextAllocateInternal+0x1fa
Red-Black tree düğümünü kaldırmaya çalışırken 0XC5 istisnasının atıldığını görebilirsin. Bu API çağrısında neden böyle bir doğrulama var diye soracak olursan; bunun nedeni, segmentation Heap'in hem lfh hem de vs için boş yığın bloklarını takip etmek amacıyla dahili olarak red-Black Tree'i kullanmasıdır. Kötü niyetli kişilerin belleğe keyfi olarak yazmasına olanak tanıyan corrupt düğüm yapılarıyla ilgili birçok güvenlik açığı var ve haliyle bu nedenle bu doğrulama kontrolü de vardır.
Doğrulama kontrolü, Children'in hala Parent'ler ile eşleşip eşleşmediğini kontrol etmeyi içeriyor.
Kod:
win32k!_RTL_BALANCED_NODE
+0x000 Children : [2] (null)
+0x000 Left : (null)
+0x008 Right : 0xffffbf08`11343878 _RTL_BALANCED_NODE.
+0x010 Red : 0y0.
+0x010 Balance : 0y00.
+0x010 ParentValue : 0xffffbf08`16940fa9
Kod:
win32k!_RTL_BALANCED_NODE
+0x000 Children : [2] (null)
+0x000 Left : (null)
+0x008 Right : (null)
+0x010 Red : 0y0.
+0x010 Balance : 0y00.
+0x010 ParentValue : 0xffffbf08`11343870
Yalnız eşleşme konularında 1 bit farkı var. Bu durum da tipik
Memory corrupt durumuna işarettir.