[2020-8-18]分析和解决BEEP.SYS蓝屏问题（私服蓝屏）

Bluefish · 发表于 2020-10-7 11:47:21

别装深沉了，赶快来凑凑热闹吧！

您需要登录才可以下载或查看，没有帐号？立即注册

x

本帖最后由 Bluefish 于 2020-10-7 11:52 编辑

【问题现象】
最近一个月一些fun88app下载出现玩家玩传奇SF登录或玩的过中蓝屏，有的是半小时，有的长达7小时才蓝屏。

【DUMP分析】
回帖奖励

通过windbg打开dump文件，我们可以看到导致蓝屏的是Beep.sys这个驱动，这个驱动是Windows系统自带的，很多人以为就是Beep.sys蓝屏。但是我们看到模块名称 MODULE_NAME 显示为“Beep_fffff8800bc4c000”，这让我想起了驱动“借壳启动”。
去客户机打开用户提供的SF登录器，地址：
发现 Beep.sys 加载的时候，实际上是 kmnldurhij.sys 这个驱动被释放加载了，果然是借壳启动。

通过分析，得出如下流程：

【解决办法】
拦截该驱动加载，或者告知顾客蓝屏是私服程序的问题；
驱动文件名称是随机的，可以使用特征码、md5等拦截；

驱动文件样本：

kmnldurhij.rar (347.82 KB, 下载次数: 234)

geshenggang4 · 发表于 2020-10-7 11:59:53

写的不错！！！！顶一下

wmmjwqf · 发表于 2020-10-7 12:53:20

已转已转已转已转已转已转

diyi55555 · 发表于 2020-10-7 17:09:56

我们可以看到导致蓝屏的是Beep.sys这个驱动，这个驱动是Windows系统自带的，很多人以为就是Beep.sys蓝屏。但是我们看到模块名称 MODULE_NAME 显示为“Beep_fffff8800bc4c000”，这让我想起了驱动“借壳启动”。
去客户机打开用户提供的SF登录器，地址：
发现 Beep.sys 加载的时候，实际上是 kmnldurhij.sys 这个驱动被释放加载了，果然是借壳启动。

liujiawo5201 · 发表于 2020-10-10 09:46:35

可以可以，又学到一些

IT小哥 · 发表于 2020-10-10 21:36:49

这种情况还真会认为是系统的问题，万万没想到。

帐号		自动登录	找回密码
密码			立即注册

[原创] [2020-8-18]分析和解决BEEP.SYS蓝屏问题（私服蓝屏）

别装深沉了，赶快来凑凑热闹吧！

点评

浏览过的版块

活跃会员

热心会员

突出贡献

论坛元老