Hallo zusammen!
Hab seit 2 Tagen ein nerviges Problem, welches ich nicht lösen kann: Beim Start meines Rechners stürzt das System sofort ab (man sieht noch kurz den Desktop) und startet neu. Nach unzähligen solchen Abstürzen habe ich dann manchmal wieder Zugriff.
Folgende Konfiguration:
- Win XP Home SP2 System
- Intel Core2 6300 (2x1,86) CPU
- 2x 1024MB Corsair DDR2 667MHz CL4 CM2X1024-5400C4 RAM
- ASROCK 775Dual-VSTA Mainboard
- ATI Radeon HD3450 Graka
Was ich schon gemacht habe:
- windbg.exe runtergeladen und die aus den Crash resultierenden Minidumps gecheckt. Ich konnte keine ähnlichen Absturzgründe feststellen:
Zitat
IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high. This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 00000000, memory referenced
Arg2: 0000001c, IRQL
Arg3: 00000000, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: 804fff41, address which referenced memory
Debugging Details:
------------------
READ_ADDRESS: 00000000
CURRENT_IRQL: 1c
FAULTING_IP:
nt!RtlNtStatusToDosErrorNoTeb+14
804fff41 8b3f mov edi,dword ptr [edi]
CUSTOMER_CRASH_COUNT: 10
DEFAULT_BUCKET_ID: COMMON_SYSTEM_FAULT
BUGCHECK_STR: 0xA
PROCESS_NAME: avgnt.exe
LAST_CONTROL_TRANSFER: from 805899e7 to 804fff41
STACK_TEXT:
aaa82e4c 805899e7 e34af248 00000bc0 aaa83078 nt!RtlNtStatusToDosErrorNoTeb+0x14
aaa83094 804dd99e 00000005 e34af248 00000bc0 nt!MiInitializeWorkingSetList+0x1b8
aaa8309c e34af248 00000bc0 aaa83150 aaa832fc nt!ZwQueryEvent+0x13
WARNING: Frame IP not in any known module. Following frames may be wrong.
aaa830ac 804e4017 badb0d00 aaa83124 804e4006 0xe34af248
aaa832fc f7831868 00000000 00000000 88d750e8 nt!KeWaitForMultipleObjects+0xb8
aaa83320 f782fc87 aaa83340 88d750e8 00000100 KSecDD!NewGenRandomEx+0x55
aaa83354 f782fe08 00000000 00000100 88d750e8 KSecDD!KsecDeviceControl+0x145
aaa83380 804e13d9 89b73a58 00000100 80700410 KSecDD!KsecDispatch+0xa6
aaa83380 89b73a58 89b73a58 00000100 80700410 nt!KiTrap0B+0x10f
88f974d0 00000000 00000000 00000000 00000000 0x89b73a58
STACK_COMMAND: kb
FOLLOWUP_IP:
KSecDD!NewGenRandomEx+55
f7831868 ?? ???
SYMBOL_STACK_INDEX: 5
SYMBOL_NAME: KSecDD!NewGenRandomEx+55
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: KSecDD
IMAGE_NAME: KSecDD.sys
DEBUG_FLR_IMAGE_TIMESTAMP: 41107b51
FAILURE_BUCKET_ID: 0xA_KSecDD!NewGenRandomEx+55
BUCKET_ID: 0xA_KSecDD!NewGenRandomEx+55
oder manchmal auch..
Zitat
DRIVER_CORRUPTED_EXPOOL (c5)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high. This is
caused by drivers that have corrupted the system pool. Run the driver
verifier against any new (or suspect) drivers, and if that doesn't turn up
the culprit, then use gflags to enable special pool.
Arguments:
Arg1: 00000004, memory referenced
Arg2: 00000002, IRQL
Arg3: 00000001, value 0 = read operation, 1 = write operation
Arg4: 805505a1, address which referenced memory
Debugging Details:
------------------
BUGCHECK_STR: 0xC5_2
CURRENT_IRQL: 2
FAULTING_IP:
nt!KiDoubleFaultStack+2a21
805505a1 894804 mov dword ptr [eax+4],ecx
CUSTOMER_CRASH_COUNT: 12
DEFAULT_BUCKET_ID: COMMON_SYSTEM_FAULT
PROCESS_NAME: System
LAST_CONTROL_TRANSFER: from 804f94ad to 805505a1
STACK_TEXT:
aa1a55c0 804f94ad 00000000 00000001 20707249 nt!KiDoubleFaultStack+0x2a21
aa1a560c 804f2a12 00000009 00000000 88d75028 nt!_woutput+0xa0d
aa1a5634 8057c570 00000009 88d75010 89c20e70 nt!KeRemoveQueue+0x28a
aa1a5668 8056e943 89bfda00 89b0e020 00100001 nt!NtQuerySystemInformation+0x67
aa1a5698 8056ea96 89bfda00 01d75010 89c20e70 nt!NtQueryInformationProcess+0xc84
aa1a56c0 8056e9bc e1003e68 88d75028 00000828 nt!NtQueryInformationProcess+0xdc8
aa1a5708 8056ea06 00000828 00000000 00000000 nt!NtQueryInformationProcess+0xcfd
aa1a570c 00000000 00000000 00000000 aa1a5728 nt!NtQueryInformationProcess+0xd42
STACK_COMMAND: kb
FOLLOWUP_IP:
nt!KiDoubleFaultStack+2a21
805505a1 894804 mov dword ptr [eax+4],ecx
SYMBOL_STACK_INDEX: 0
SYMBOL_NAME: nt!KiDoubleFaultStack+2a21
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: nt
IMAGE_NAME: ntoskrnl.exe
DEBUG_FLR_IMAGE_TIMESTAMP: 45e54690
FAILURE_BUCKET_ID: 0xC5_2_nt!KiDoubleFaultStack+2a21
BUCKET_ID: 0xC5_2_nt!KiDoubleFaultStack+2a21
oder..
Zitat
NTFS_FILE_SYSTEM (24)
If you see NtfsExceptionFilter on the stack then the 2nd and 3rd
parameters are the exception record and context record. Do a .cxr
on the 3rd parameter and then kb to obtain a more informative stack
trace.
Arguments:
Arg1: 001902fe
Arg2: aa3bbdb0
Arg3: aa3bbaac
Arg4: f7b75791
Debugging Details:
------------------
EXCEPTION_RECORD: aa3bbdb0 -- (.exr 0xffffffffaa3bbdb0)
ExceptionAddress: f7b75791 (Ntfs!NtfsCheckExistingFile+0x00000049)
ExceptionCode: c0000005 (Access violation)
ExceptionFlags: 00000000
NumberParameters: 2
Parameter[0]: 00000000
Parameter[1]: 00000048
Attempt to read from address 00000048
CONTEXT: aa3bbaac -- (.cxr 0xffffffffaa3bbaac)
eax=00000000 ebx=e16090d0 ecx=00000000 edx=aa3bbfb0 esi=f7b6b9e0 edi=f7b6b9e0
eip=f7b75791 esp=aa3bbe78 ebp=aa3bbefc iopl=0 nv up ei pl nz na po nc
cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 efl=00010202
Ntfs!NtfsCheckExistingFile+0x49:
f7b75791 ff7048 push dword ptr [eax+48h] ds:0023:00000048=????????
Resetting default scope
CUSTOMER_CRASH_COUNT: 11
PROCESS_NAME: cidaemon.exe
ERROR_CODE: (NTSTATUS) 0xc0000005 - Die Anweisung in "0x%08lx" verweist auf Speicher in "0x%08lx". Der Vorgang "%s" konnte nicht auf dem Speicher durchgef hrt werden.
READ_ADDRESS: 00000048
BUGCHECK_STR: 0x24
DEFAULT_BUCKET_ID: NULL_CLASS_PTR_DEREFERENCE
LAST_CONTROL_TRANSFER: from f7b76013 to f7b75791
STACK_TEXT:
aa3bbefc f7b76013 87dc2988 e1609008 000000a0 Ntfs!NtfsCheckExistingFile+0x49
aa3bbf90 f7b763d1 87dc2988 87d2b8a0 89ae0100 Ntfs!NtfsCommonCreate+0xd31
aa3bbfe8 f7b768e1 87dc2988 87d2b710 87d2b8a0 Ntfs!NtfsOpenAttributeInExistingFile+0x3f9
aa3bc0f4 f7b767b8 87dc2988 87d2b710 87d2b8a0 Ntfs!NtfsOpenExistingPrefixFcb+0x24c
aa3bc1dc f7b75f51 87dc2988 87d2b710 87d2b8a0 Ntfs!NtfsUpcaseName+0x2d
aa3bc35c f7b77d2d 87dc2988 87d2b710 aa3bc3b4 Ntfs!NtfsCommonCreate+0xb17
aa3bc440 804e13d9 89ae0020 87d2b710 87e06a08 Ntfs!NtfsFsdCleanup+0x5b
aa3bc440 87e06a08 89ae0020 87d2b710 87e06a08 nt!KiTrap0B+0x10f
WARNING: Frame IP not in any known module. Following frames may be wrong.
805694c0 00000000 00000000 00000000 00000000 0x87e06a08
FOLLOWUP_IP:
Ntfs!NtfsCheckExistingFile+49
f7b75791 ff7048 push dword ptr [eax+48h]
SYMBOL_STACK_INDEX: 0
SYMBOL_NAME: Ntfs!NtfsCheckExistingFile+49
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: Ntfs
IMAGE_NAME: Ntfs.sys
DEBUG_FLR_IMAGE_TIMESTAMP: 45cc56a7
STACK_COMMAND: .cxr 0xffffffffaa3bbaac ; kb
FAILURE_BUCKET_ID: 0x24_Ntfs!NtfsCheckExistingFile+49
BUCKET_ID: 0x24_Ntfs!NtfsCheckExistingFile+49
Followup: MachineOwner
- Die angegebenen Prozesse im Protokoll wechseln ständig, es tauchen immer diese 3 Fehlermeldungen im zufälligen Wechsel auf. Am häufigsten aber diese hier: IRQL_NOT_LESS_OR_EQUAL
- Anfangs habe ich AntiVir die Schuld in die Schuhe geschoben. Hätte auch gepasst, da ich erst vor kurzem auf die neue Version 8 umgestiegen bin, habs nun deinstalliert und es stürzt trotzdem ab
- danach habe ich den Fehler in einem defekten Ramriegel vermutet (beide sind ca. 2 Monate alt), hab einen Memorycheck gemacht und nichts gefunden, die Riegel wurden auch gekreuzt und einzeln eingesetzt.
- nun vermute ich, dass ein Treiber falsch arbeitet. Ich kann aber bisher keine Rückschlüsse ziehen was woher kommt, da alles so willkürlich erscheint. Hab versucht mit verify.exe zu arbeiten, aber bisher hat es nichts gefunden (wahrscheinlich kann es das auch garnicht, da der PC direkt aus ist?)
Kann mir da jemand helfen oder einen Tip geben, wo ich vielleicht suchen könnte? Ich bin da zur Zeit wirklich ratlos
Übrigens: die Grafikkarte ist ca. 1 Monat alt und hat anfangs etwas Probleme gemacht. Ein Mainboardupdate hats behoben, das war ungefähr 3 Wochen her und es ist nichts Verdächtiges passiert.
Vielen Dank
grüße,
mammo
