{"id":2219,"date":"2024-08-01T08:44:37","date_gmt":"2024-08-01T08:44:37","guid":{"rendered":"https:\/\/www.mainmind.com\/blog\/?p=2219"},"modified":"2024-08-01T09:06:37","modified_gmt":"2024-08-01T09:06:37","slug":"analizar-volcados-de-memoria-con-windbg","status":"publish","type":"post","link":"https:\/\/www.mainmind.com\/blog\/analizar-volcados-de-memoria-con-windbg\/","title":{"rendered":"Analizar volcados de memoria con WinDbg"},"content":{"rendered":"\n

A ra\u00edz de del incidente de CrowdStrike Falcon<\/a> algunas de las preguntas habituales sobre este EDR (Endpoint Detection and Response), se centraron en como diagnosticar que hab\u00eda provocado el pantallazo azul (BSOD<\/a>)…<\/p>\n\n\n\n\n\n\n\n

La propia Microsoft facilita la aplicaci\u00f3n WinDbg<\/a> en Windows Store<\/a>, una aplicaci\u00f3n completa y extensa, que desde 2017<\/a> se ha ido actualizando constantemente pero veamos unas nociones b\u00e1sicas para, por lo menos, orientar hac\u00eda donde puede estar el origen de un pantallazo azul.<\/p>\n\n\n\n

Despu\u00e9s de instalar la aplicaci\u00f3n, iremos a \u00abFile> Settings > Debugging settings<\/em>\u00bb junto a la opci\u00f3n \u00abDefault symbol path<\/em>\u00bb a\u00f1adiremos el texto:<\/p>\n\n\n

\nsrv*https:\/\/msdl.microsoft.com\/download\/symbols\n<\/pre><\/div>\n\n
\n
\"settings<\/figure>\n<\/div>\n\n\n
De este modo se a\u00f1aden los \u00abarchivos de s\u00edmbolos\u00bb de Microsoft, estos datos no son necesarios para ejecutar los binarios pero si son \u00fatiles para depurar, en el caso de necesitar hacerlo en modo kernel se necesitan los s\u00edmbolos para el controlador que se est\u00e1 depurando adem\u00e1s de los p\u00fablicos de Windows<\/a>. Por ejemplo, podremos ver los nombres de variables, funciones… que ayudan en el proceso b\u00e1sico.<\/p>\n\n\n\n
Si nuestro equipo ha sufrido un pantallazo azul se realiza volcado de memoria antes de reiniciar, pueden existir varias rutas al fichero pero habitualmente:<\/p>\n\n\n
\n%SystemRoot%\\MEMORY.DMP\n%SystemRoot%\\minidump\\minidump.dmp\n<\/pre><\/div>\n\n\n
Desde \u00abConfiguraci\u00f3n > Sistema > Informaci\u00f3n > Configuraci\u00f3n Avanzada del sistema<\/em>\u00bb accedemos a las \u00abOpciones Avanzadas > Inicio y recuperaci\u00f3n (Configuraci\u00f3n)<\/em>\u00bb donde podemos seleccionar el tipo de volcado y la ruta predeterminada:<\/p>\n\n\n
\n
\"windows_dump_config
La mezcla de opciones del Panel de Control antiguo en Windows 11 todav\u00eda se escoden en la interfaz…<\/figcaption><\/figure>\n<\/div>\n\n\n
Deber\u00e1s abrir con permisos de administrador WinDdg si el fichero se encuentra en el directorio del sistema, puedes copiar el fichero de otro equipo en cualquier ruta igualmente y desde \u00abFile > Open dump file<\/em>\u00bb abrimos el archivo de volcado de memoria.<\/p>\n\n\n\n
Las tareas de depuraci\u00f3n de este tipo son complejas, pero vamos a ver el proceso inicial m\u00e1s sencillo. Una vez abierto el fichero de volcado, podemos analizarlo pulsando sobre \u00ab!analize -v\u00bb o escribiendo este mismo comando junto a \u00abkd >\u00bb<\/p>\n\n\n
\n
\"analyze<\/figure>\n<\/div>\n\n\n
Aqu\u00ed es donde empezamos a obtener pistas, vamos a ver dos ejemplos de pantallazos azules provocados por dos problemas diferentes:<\/p>\n\n\n\n
\n
\n
\"crash_usb_sandisk
USB Sandisk<\/figcaption><\/figure>\n<\/div><\/div>\n\n\n\n
\n
\"crash_amdkmdag_sys
GPU AMD<\/figcaption><\/figure>\n<\/div><\/div>\n<\/div>\n\n\n\n
No hemos entrado en los detalles de cada uno de estos pantallazos, pero por lo menos podemos ver por donde seguir investigando, en la parte izquierda se muestra un ejemplo de error provocado por una unidad USB de Sandisk y en la parte derecha otro iniciado por errores en la tarjeta gr\u00e1fica de AMD<\/p>\n\n\n\n
Junto al an\u00e1lisis y los ficheros implicados podemos encontrar informaci\u00f3n adicional, en el caso del USB:<\/p>\n\n\n
\nDRIVER_POWER_STATE_FAILURE (9f)\nA driver has failed to complete a power IRP within a specific time.\nArguments:\nArg1: 0000000000000004, The power transition timed out waiting to synchronize with the Pnp\n\tsubsystem.\nArg2: 000000000000012c, Timeout in seconds.\nArg3: ffffa48f63e50040, The thread currently holding on to the Pnp lock.\nArg4: ffffb68d470d7180, nt!TRIAGE_9F_PNP on Win7 and higher\n<\/pre><\/div>\n\n\n
Relacionado: An\u00e1lisis de David Weston sobre el incidente<\/a> de CrowdStrike<\/p>\n","protected":false},"excerpt":{"rendered":"
A ra\u00edz de del incidente de CrowdStrike Falcon algunas de las preguntas habituales sobre este EDR (Endpoint Detection and Response), se centraron en como diagnosticar que hab\u00eda provocado el pantallazo azul (BSOD)…<\/p>\n","protected":false},"author":1,"featured_media":2231,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[798,799,976],"class_list":["post-2219","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-software","tag-bsod","tag-pantallazo-azul","tag-windbg"],"_links":{"self":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/2219","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/comments?post=2219"}],"version-history":[{"count":2,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/2219\/revisions"}],"predecessor-version":[{"id":2233,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/2219\/revisions\/2233"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/media\/2231"}],"wp:attachment":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/media?parent=2219"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/categories?post=2219"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/tags?post=2219"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}