Interpretation von Memory.dmp

[Demented Clown 13]

Guten Morgen,

 

bei einem Win7 Client habe ich sporadische Abstürze, das System hat einen

Memorydump geschrieben, allerdings habe ich Probleme bei der Interpretation.

Könnte mir dabei vielleicht jemand unter die Arme greifen?

Vielen Dank,

 

Armin

 

Kernel Summary Dump File: Only kernel address space is available

WARNING: Whitespace at end of path element

Executable search path is: 
Windows 7 Kernel Version 7601 (Service Pack 1) MP (4 procs) Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 7601.17803.x86fre.win7sp1_gdr.120330-1504
Machine Name:
Kernel base = 0x8284f000 PsLoadedModuleList = 0x829984d0
Debug session time: Fri Aug 17 12:19:56.570 2012 (UTC + 2:00)
System Uptime: 0 days 4:10:48.604
Loading Kernel Symbols
...............................................................
................................................................
......................
Loading User Symbols
PEB is paged out (Peb.Ldr = 7ffdf00c).  Type ".hh dbgerr001" for details
Loading unloaded module list
.....
0: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

MEMORY_MANAGEMENT (1a)
   # Any other values for parameter 1 must be individually examined.
Arguments:
Arg1: 00005002, The subtype of the bugcheck.
Arg2: 94630000
Arg3: 0000443d
Arg4: 2443effe

Debugging Details:
------------------


BUGCHECK_STR:  0x1a_5002

DEFAULT_BUCKET_ID:  VISTA_DRIVER_FAULT

PROCESS_NAME:  Wpe.exe

CURRENT_IRQL:  0

TRAP_FRAME:  b2743a1c -- (.trap 0xffffffffb2743a1c)
ErrCode = 00000002
eax=00000000 ebx=0055d06c ecx=000b881b edx=00000000 esi=fa0a2000 edi=fa31d000
eip=82888ee5 esp=b2743a90 ebp=b2743aa8 iopl=0         nv up ei pl nz na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010206
nt!memset+0x45:
82888ee5 f3ab            rep stos dword ptr es:[edi]
Resetting default scope

LAST_CONTROL_TRANSFER:  from 828b35db to 8292de9c

STACK_TEXT:  
b274386c 828b35db 0000001a 00005002 94630000 nt!KeBugCheckEx+0x1e
b27438a4 828ed590 c07d18e8 84224b94 00000000 nt!MiAllocateWsle+0x6f
b27438f8 828e0d94 00000001 fa31d000 00000111 nt!MiResolveDemandZeroFault+0x4eb
b2743978 828de832 fa31d000 00000000 8f502d70 nt!MiDispatchFault+0x659
b2743a04 82890468 00000001 fa31d000 00000000 nt!MmAccessFault+0x157c
b2743a04 82888ee5 00000001 fa31d000 00000000 nt!KiTrap0E+0xdc
b2743a90 9559e39a fa0a2000 00000000 0055d06c nt!memset+0x45
b2743aa8 955b3984 0055d06c 35316847 b2743b58 win32k!PALLOCMEM+0x29
b2743ac4 955c1c5f 0055d06c 00000005 00000001 win32k!AllocateObject+0x98
b2743b24 9559e837 000016e8 00000000 00000000 win32k!SURFMEM::bCreateDIB+0x261
b2743b90 955a7c3d 00000000 00000006 03080659 win32k!hsurfCreateCompatibleSurface+0x2a8
b2743c0c 9559e94f ffb93748 000005ba 000003bf win32k!GreCreateCompatibleBitmap+0x1cd
b2743c20 8288d27a 2c011788 000005ba 000003bf win32k!NtGdiCreateCompatibleBitmap+0x19
b2743c20 77927094 2c011788 000005ba 000003bf nt!KiFastCallEntry+0x12a
WARNING: Frame IP not in any known module. Following frames may be wrong.
00e2e604 00000000 00000000 00000000 00000000 0x77927094


STACK_COMMAND:  kb

FOLLOWUP_IP: 
win32k!PALLOCMEM+29
9559e39a 83c40c          add     esp,0Ch

SYMBOL_STACK_INDEX:  7

SYMBOL_NAME:  win32k!PALLOCMEM+29

FOLLOWUP_NAME:  MachineOwner

MODULE_NAME: win32k

IMAGE_NAME:  win32k.sys

DEBUG_FLR_IMAGE_TIMESTAMP:  5006f6b3

FAILURE_BUCKET_ID:  0x1a_5002_win32k!PALLOCMEM+29

BUCKET_ID:  0x1a_5002_win32k!PALLOCMEM+29

Followup: MachineOwner
---------

[Dukel 437]

Was ist denn "PROCESS_NAME: Wpe.exe"? Kannst du mal nach der Datei suchen und schauen woher diese kommt?

[Demented Clown 13]

Hi Dukel,

 

danke für Deine Antwort, ich bin jetzt wohl schon einen kleinen Schritt weiter.

Es scheint sich um ein Problem der Warenwirtschaft InForm zu handeln, in diesem Link

RODE ICT» Blogarchiv » Kaspersky Internet Security 2009 und IN-Form PROfessional

scheint jemand ein ähnliches Problem zu haben.

Ich setze zwar keinen Kaspersky ein, werde aber trotzdem dahingehend prüfen und mich dann nochmal melden.

 

Danke,

 

Armin

[zahni 525]

Ein BSOD kann nur durch einen Fehler im Kernel Mode auftreten. D.h. "WPE.EXE" ruft irgendeinen Device-Treiber auf.

 

Schaue dir mal

Debugging and Investigation Tools - All Your Base Are Belong To Us

an. Speziell weiter unten den Abschnitt mit dem Driver Verifier.

[Demented Clown 13]

@Zahni: Danke für den Link, werde ich mir ansehen.