Инструкция в X ссылается на память в Y. Память не может быть записана

Question

TFG (Total Files Gaurd) - это программное обеспечение, которое используется в офисах для защиты клиентских данных от воров со стороны вредоносных программ и пользователей. Он шифрует некоторые типы файлов (администратор сети выбирает, какой тип он / она хочет защитить), а затем программное обеспечение шифрует все файлы этого типа и дешифрует файл, когда пользователь дважды щелкает по нему, чтобы открыть его, и после изменения программное обеспечение шифрует и сохраните его на жестком диске снова. (Все процессы выполняются автоматически).

Хорошо, в нашем офисе мы установили это программное обеспечение на многих клиентах. Он отлично работает практически на всех системах. Но для некоторых клиентов после перезагрузки появляются следующие окна и ничего не работает. единственное, что может сделать пользователь, - это закрыть свою систему! (и администратор должен удалить его удаленно)

Мой вопрос:

Что говорит этот образ? Что здесь происходит? это программное обеспечение делает фальшивый процесс expolorer.exe ? или это интерфейс между ОС и процессом проводника? Хочет ли что-то написать в защищенной части памяти?

Answer 1

Память в этом месте, скорее всего, повреждена или защищена другим приложением в системе. Учитывая, что системы управляются сетевым администратором, я ожидаю, что во всех системах установлено одинаковое программное обеспечение, и все системы имеют одинаковую модель / спецификацию. В этом случае проблема, скорее всего, связана с повреждением ОЗУ по этому конкретному адресу.

Изображение, в частности, говорит о том, что инструкция, установленная на ЦП по адресу ###, пыталась получить доступ к части ОЗУ по адресу ###, но потерпела неудачу. Это похоже на отправку письма по неправильному адресу и его отправку обратно вам неоткрытой.

Answer 2

это программное обеспечение делает фальшивый процесс expolorer.exe?

Скорее всего, нет, так как это не сработает, когда вы открываете файл в диалоговом окне "Открыть файл" другой программы. Вероятно, он работает как плагин фильтра файловой системы + проводника (расширение оболочки).

Я подозреваю, что это программное обеспечение для шифрования плохо взаимодействует с каким-либо другим расширением оболочки, которое также находится в "проблемной" системе.

Хочет ли что-то написать в защищенной части памяти?

Может быть. Вы получите то же сообщение об ошибке, если адрес просто не определен в контексте процесса. Классическим примером является адрес 0, который никогда не определяется в процессе Windows.

Однако страницы памяти могут быть защищены для доступа только для чтения - это обычно используется для констант программы. Вы получите ту же ошибку, если процесс попытается выполнить запись так, как если бы он попытался выполнить запись по неопределенному адресу.

Обычная основная причина такой ошибки - неправильный адрес (0x600507da). Это, в свою очередь, происходит либо потому, что область памяти, из которой программа получила его, содержит неправильное содержимое, либо в коде есть ошибка. (На самом деле, «область памяти, из которой программа получила неправильное содержимое» также может быть вызвана ошибкой в любом коде, в котором она там хранится.)

Обратите внимание, что это обычно не указывает на проблему с реальной оперативной памятью в расположении 0x600507da. Все указанные адреса являются виртуальными, а не физическими (RAM) адресами, и от одного запуска программы к другому и даже от одного момента к другому непредсказуемо, как его виртуальные адреса отображаются на физические.

Это может, однако, быть проблема с RAM где - то. если в ОЗУ сбрасываются биты, возможно, причина, по которой код просматривает адрес 0x600507da, заключается в том, что он должен был смотреть (скажем, 0x600517da ...) на этот адрес, считываемый из другого места в ОЗУ .. но ОЗУ вернуло 0x600507da. Но ошибки оперативной памяти не очень распространены. Если бы это была ошибка ОЗУ, подобная этой, мы могли бы ожидать, что ошибки будут "повсюду", поскольку со временем одно и то же место ОЗУ может использоваться для многих различных процессов и виртуальных адресов с течением времени.

Это, безусловно, не означает, что содержимое указанного местоположения (0x600507da) "повреждено", то есть имеет неправильный контент до записи. Запись в память не волнует один бит (каламбур), каково предыдущее содержимое.

Мы также можем с уверенностью сказать, что проблема не в том, что местоположение "защищено другим приложением в системе". Это виртуальный адрес для каждого процесса, и никакой другой процесс в системе не может ничего сказать об этом.