Rehber Minidump dosya analizi

[bicy 63]

Minidump kısaca,

Mavi ekran hatası aldığınızda DMP uzantılı Minidump dosyaları oluşur. Bu mini bellek döküm dosyalarının analiziyle mavi ekran hatalarının sebebi genelde tespit edilebilir.

Küçültmek için tıkla...

demektir.

Bu döküm sayesinde mavi ekranın sebepleri öğrenilebilir.

Bugün kısa bir rehber yaparak nasıl daha rahat çözüme gidebileceğiniz yollarını göstermeye çalışacağım.

İlk iş WinDbg aracılığı ile .DMP uzantılı dosyalara erişmeniz lazım, eriştikten sonra dosyayı açın ve karşınıza çıkan ekrandan !analyze -v tuşuna basarak dosyanın tamamına erişin.

Karşımıza hata kodunun olduğu ekran gelecektir, bu konuda bizim kodumuz Bug Check 0x9F: DRIVER_POWER_STATE_FAILURE olacak. Peki bu kod çözümde önemli olacak mı? Evet olacak.

Daha sonrasında ekranı aşağıya kaydırarak hatanın asıl sebebinin yazdığı kısma geleceğiz

Bize asıl bilgiyi verenler Module,Symbol ve image kısımları olacak. Burada da gördüğümüz gibi hatanın sebebi;

MODULE_NAME: UsbHub3

IMAGE_NAME: UsbHub3.sys

Name:	USBHUB3.sys
Info:	USB3 HUB Driver

USB3 sürücüsü olarak gözüküyor ama tam olarak neyi işaret ettiğini de söylemiyor. Bu durumda bize Microsoft yardımcı olacak.

Yeni mavi ekran analiz etmeye başlayacak olan biriyseniz Microsoft'un o an baktığınız hata kodu için açtığı başlığı inceleyip vermiş olduğu bilgileri ve kodları kullanmaya özen gösterin. Biz de bakacağız hemen.

Bug Check 0x9F DRIVER_POWER_STATE_FAILURE - Windows drivers

This bug check has a value of 0x0000009F. This bug check indicates that the driver is in an inconsistent or invalid power state.

learn.microsoft.com

Örnek olarak, Microsoft bu hata kodunun sebeplerini de sıralamış;

For a description of the possible causes, see the description of each code in the Parameters section. Common causes include:

Device object freed w/ outstanding uncompleted power request
Power state transition timed out
Device object blocking an IRP
Completed IRP but did not call PoStartNextPowerIrp

İlk iş bizden istedikleri, ARG4 değerindeki irp komutunu !irp koduyla beraber yazıp sebeplerine bakmamız olacak.

Bizim mevcut dosyadaki IRP kodumuz Arg4 değerinde yer alan fffFA806A8Be39e0, The blocked IRP kısmındadır. Kısaca bizim kullanacağımız kod !irp fffFA806A8Be39e0 olacak ve bunu aşağıdaki komut satırına yazacağız.

Ve karşımıza çıkan kısma bakalım. Burada önceki USB3 gibi belirsiz bir SYS dosyasına nispeten daha açıklayıcı ve sebebe yol açtığını gördüğümüz 2 sürücü göze çarpıyor. Biri ibtusb.sys diğeri ise BTHUSB.sys.

Bunları ben zaten biliyorum ama siz internette araştırıp baktığınızda Bluetooth ile ilgili sürücüler olduğunu ve güncellenmeleri gerektiğini anlıyorsunuz.

Name:	ibtusb.sys
Info:	Intel(R) Wireless Bluetooth(R) Filter Driver

Name:	BTHUSB.sys
Info:	Bluetooth Miniport Driver

Bluetooth sürücüsünü tespit ettiğimize göre bir diğer Microsoft komutuna dönüp bakmamız gerekmekte;

Burada da bizden istedikleri arg2 değerimizi !devstack komutuyla beraber komut satırına yazıp bu hataya sebep olan ana sürücüyü bulmamız. Bizim arg2 değerimiz şu: FffFA8069CE68D50, Physical Device Object of the stack. Komut satırına yazıyoruz:

Karşımıza çıkan ekran aşağıdaki oluyor ve bu hatanın sebebinin Bluetooth sürücüleri olduğundan emin oluyoruz.

DİPNOT1: Windows temelli sürücüler çoğu durumda mavi ekranların sebepleri değildir, bu konuda Bluetooth miniportu ana sebep olarak görünse de bizim güncelleyeceğimiz sürücü Intel kablosuz Bluetooth sürücüsü olmalı.

Konuyu çözdükten sonra işimize yarayan bir diğer komutlara bakıyoruz;

lm
!sysinfo machineid
!poaction (Driver power state failure hatasına özel bir koddur)

!Poaction komutunu girdiğimizde karşımıza 3 irp ve 2 çekirdek değeri daha çıkıyor;

3 irp değerini de incelediğimizde karşımıza farklı farklı sürücülerin çıktığını görüyoruz, örneğin:
USB giriş aygıtlarından (Hidusb) klavye sürücüsü karşımıza çıkıyor, bunu da aklımızda tutmamız gerekiyor.

Bir diğer giriş aygıtlarından mouse sürücümüz karşımıza çıkıyor, bunlar belki de mavi ekrana sebep olan şeyler olabilir diye aklımızda tutmamız gerekiyor.

Diğerlerinden farklı olarak ses sürücüleri karşımıza çıkıyor ve konu sahibine bunu da mutlaka söylememiz ve güncellemesini istememiz gerekiyor.

HidUsb.sys, mouclass.sys, kdbclass.sys, HDAudBus.sys gibi sürücülerin ne olduğunu ve neler olduğunu internete aratarak bulabilirsiniz. Ben söylemiş oldum zaten ama sizin karşınıza daha farklı .sys uzantılı dosyalar çıkacaktır, internet üzerinden araştırıp bulacaksınız.

Bir diğer komutumuz olan lm komutu ile de o an yüklenemeyen sürücüleri görebilirsiniz. Bizim tablomuz:

Zaten !poaction komutu ile önceden bulduğumuz klavye ve mouse sürücüleri haricinde EA anti cheat sürücüleri de göze çarpıyor. Geri kalan sürücülerin çoğu Windows'a ait sürücüler olduğu için şüphelenmeden ve herhangi bir şey yapmadan bırakıyoruz.

DİPNOT2: Lm modüllerindeki dosyalar aynı kullanıcının farklı 3 dosyasında da farklı olabilir, bu yüzden her lm modülündeki sürücüye göre önlem almamız gerekmiyor.

Son komut olan !sysinfo machineid komutu ile anakart hakkında bilgi, BIOS sürümünü ve tarihini öğrenebilirsiniz. Bizim dosyamızda durum bu:

Acer'e ait olan Swift SF314-42 Ultrabook cihazına ait bir dump dosyasını incelediğimiz anlıyoruz, BIOS tarihi 2020'den kalma ve BIOS sürümü v1.04 olarak gözüküyor. Eski kalmış BIOS sürümleri de mavi ekrana sebebiyet verebilir, Bu yüzden BIOS'u güncel tutmak her zaman sağlıklı olacaktır.

Bu şekilde son noktamızı koyup konu sahibine Bluetooth sürücülerini güncellemesini söylüyoruz, Bunun yanında ses sürücülerini kontrol etmeli/güncellemeli. Bunun yanında mouse ve klavyesinin USB girişlerini değiştirmeyi de deneyebileceğini söylüyor ve mavi ekranı %90 ihtimalle çözüme ulaştırmış oluyoruz.

Bu konuda kullandığımız hata koduna ait (DRIVER_POWER_STATE_FAILURE) komutlar (!poaction,!irp,!devstack) diğer hata kodlarında çalışmayacaktır. Her hata kodu kendine özgüdür ve her hata kodunda aynı sürücüler hata verecek diye bir şey yoktur. Hata kodlarını Microsoft makalelerinden inceleyip minidump dosyalarını analiz etmeniz gerekmektedir.

Microsoft learn bu konuda sizin yardımcınız olacak : Microsoft Learn: Build skills that open doors in your career

Sürprizbozan: İşlemci

Konudan bağımsız bir bilgi olan !sysinfo cpuinfo komutu ile işlemcinize ait bilgilere ulaşabilirsiniz. Bu konuda bize eşlik eden işlemci 4500U imiş. Kendisi 2371MHz hızında çalışıyor olup base clock değeriyle uyuştuğu için herhangi bir sıkıntı teşkil etmediğini anlıyoruz.

Base Clock. = 2.3GHz
Base clock değerine Google üzerinden araştırma yaparak ulaşabilirsiniz.

3: kd> !sysinfo cpuinfo
[CPU Information]
~MHz = REG_DWORD 2371
Component Information = REG_BINARY 0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0
Configuration Data = REG_FULL_RESOURCE_DESCRIPTOR ff,ff,ff,ff,ff,ff,ff,ff,0,0,0,0,0,0,0,0
Identifier = REG_SZ AMD64 Family 23 Model 96 Stepping 1
ProcessorNameString = REG_SZ AMD Ryzen 5 4500U with Radeon Graphics
Update Status = REG_DWORD 1
VendorIdentifier = REG_SZ AuthenticAMD

 

[99]

Gördüğüm en uzun minidump analiz rehberi yarın bitiririm inşallah

 

[sickboyrari 15]

Emeğinize sağlık.

 

[Görkem]

Harika.

 

[zaferh]

Hocam konuyu tekrar aydınlatıyorum ama bu irp kodunu tam olarak nerede bulacağım.

 

[Hasan Merkit 63]

Bu rehber, sitenin Wordpress tarafına taşınması gerektiğini düşünüyorum. En azından Sosyal içerisinde de sabitlenebilir. Ama Wordpress ve doğru anahtar kelimeler ile Google ulaşımı kolaylaşabilir.

@Recep Baltaş, arama motorunda araştırınca eski sitedeki yazdığınız yazıya ulaştım ve işime yaradı. Ancak arama motoru bu siteden pek kaynak gösteremedi. Bu rehber de aynı programı tavsiye ediyor. Wordpress tarafına taşınması ve anahtar kelimeler eklenmesi daha iyi olmaz mı?