BEdaisy.sys mavi ekran hatası

181951 dedi:

BattlEye, bir APC kuyruğuna ekleniyor ve bu da sayfa girdilerine yazılıyor. Kısa özet:

InsertTailList(&TargetApcState (Bedaisy.sys)->ApcListHead[UserMode], &Apc->ApcListEntry);

Burada zaten işaretlediğim gibi dosyanın açıklamasında olduğu gibi bir APC kuyruğuna eklenmesi, sayfa girdilerine yazılması. Sonra sayfa girdilerinin bozulması.

Genişletmek için tıkla...

APC'ler çalışan iş parçacıklarının (thread) içinde kod çalıştırmak için kullanılır. İş parçacığına kesme atmak gibi düşünülebilir. Genellikle zararlı yazılımlar ve antivirüsler/antihileler tarafından user mode'da çalışan işlemlere kernel sürücülerini kullanarak kod enjekte ederler. Asenkron olarak çalışır ve bu çağrılar bir kuyrukta işlenir.

Kernel sürücülerinin sıraladığı kuyruk erişimlerinde bir hata olması kabul edilemez bir durumdur. Hata olursa int 0x29 buyruğuyla sistem fastfail olarak kural dışı durumu oluşturur, trap frame içinde görüldüğü üzere. Bu noktada IRQL üzerinden bir çıkarım yapılamaz.

181951 dedi:

Hataya tek sebep BattlEye oluyor.

Genişletmek için tıkla...

APC ve kuyruk erişimi tamamen kernel sürücüsüne bağlı olduğu için en büyük şüphelinin BattlEye olduğu bir gerçek. Ancak BattlEye bir sistem hatasının kurbanı oluyor olabilir. Sistem bileşenlerini test etmeyi öneririm.

Plyra dedi:

Bu noktada IRQL üzerinden bir çıkarım yapılamaz.

Genişletmek için tıkla...

Herhangi bir çıkarım yok aslında, KeInsertQueueApc çağrısının ThreadLock'u aldığı bir gerçek nihayetinde. Halihazırda bir kernel sürücü DPC kuyruğuna ekleniyor ya da çıkarılıyorsa kesmenin de Dispatch ya da passive Level'de olması gerekiyor. Oradaki vurgu aslında çağrının olduğu gibi çalıştığını gösteren bir vurgu.

Plyra dedi:

APC ve kuyruk erişimi tamamen kernel sürücüsüne bağlı olduğu için en büyük şüphelinin BattlEye olduğu bir gerçek. Ancak BattlEye bir sistem hatasının kurbanı oluyor olabilir. Sistem bileşenlerini test etmeyi öneririm.

Genişletmek için tıkla...

Eğer bir donanım bu hataya sebebiyet veriyor ise bilemeyeceğim ama bir güncelleme gelene kadar herhangi bir sorun olmadıysa bence hala net olarak BattlEye kaynaklı.