C000007b ошибка при запуске windows 7

Операционная система Windows — это сложный, взаимодополняющий и связанный с другим ПО комплекс эффективного распределения вычислительных ресурсов и управления устройствами. Однако не редки случаи, когда происходят проблемы. Ошибка 0xc000007b появляется у многих пользователей ПК. На этой странице мы узнаем, в чем заключается сложность её устранения, и найдем несколько способов решения.

0xc000007b означает, что код ошибки возникает из-за ненормального вызова файла dll. Часто игры или программы, которые мы планируем запустить, используют библиотеки и компоненты распространенных ПО — DirectX (часто версии 9.0) и распространяемый пакет Visual C++.

Переходите по ссылке для скачивания DirectX и C++ или испробуйте все способы решения данной проблемы. Выберите необходимые вам и устанавливайте на свой ПК.

Переустановка новых версий не помогла?

Проблемы с файлами dll в DirectX или C++

Проблема с патчем или пиратской программой

Исключение декомпрессии

Решение

• Найдите дистрибутив с приложением.
• Распакуйте его через правую кнопку мыши в любую папку.
• Пропустите ошибки, возникающие при работе архиватора.

Неправильный exe-файл был изменен вирусом

Решение

Чтобы исправить, включите сначала стандартный защитник Windows, а потом сторонний антивирус, чтобы проверить ОС на наличие вредоносных файлов, и исправьте их или внесите в карантин.

• Наберите в строке поиска «Защита от вирусов и угроз».
• Откройте это окно безопасности Windows кликнув по найденному параметру левой кнопкой мыши.
• Включите все параметры подсвеченные как выключенные таким образом, чтобы они стали выводить галочку в зеленом кружке.

Несовместимость игры с текущей системой

Решение

• Пожалуйста, зайдите на официальный сайт игры (или steam).
• Посмотрите, что написано в графе операционная система в минимальной конфигурации, необходимой для игры.
  • Сравните с той которая у вас. Если Необходимо обновить ОС, установите необходимую, например Windows 11 последней конфигурации с нашего ресурса.
• Кроме версии системы, также советуем проверить требования к оборудованию.
  • Кроме покупки нового качественного «железа» выхода нет.

Режим отладки программного обеспечения

Ошибка 0xc000007b на синем экране

Решение

• Предлагается переустановить систему напрямую, чтобы решить эту проблему.

Ошибка 0x0000007b появляется на синем экране

Решение

• При включении ПК нажмите на клавишу «del, F2,F9,F12 (в зависимости от того, какой клавишей запускается загрузчик — BIOS именно у вас. Это будет на секунду написано на экране)»
• Перейдите в раздел «Advaced».
• Затем найдите «SATA Configuration». Иногда этого пункта нет, в сразу можно увидеть «SATA Mode Selection».
• Поменяйте значение на «iDE». Как показано на скриншотах из разных загрузчиков в галерее ниже.

Да, решение очень похоже на предыдущий пункт, однако сама ошибка имеет другое название, поэтому требует отдельного рассмотрения. Кроме того порядок действий, который предшествует возникновению ошибки отличается, поэтому чтобы сориентироваться было легче решение вынесли в отельную инструкцию.

Драйвер видеокарты обновлен?

Решение

• Перейдите на официальный веб-сайт вашей видеокарты, чтобы загрузить и установить ее.
• Либо наберите в поисковике Windows «Диспетчер устройств».
• В открывшемся окне, выберите «Видеоадаптеры».
• Кликните ПКМ и в выпадающем меню отройте «Свойства».
• Внутри щелкните по вкладке «Драйвер».
• Нажмите «Обновить».

Вы импортировали информацию реестра?

Решение

Запустите его, чтобы импортировать информацию. В противном случае может быть невозможно запустить игру.

Часто все очень просто и достаточно кликнуть два раза левой кнопкой мыши и дать разрешение на изменение реестра.

Англоязычная директория

Решение

• Например, измените название пути на «C:/game/…».
• Вы должны убедиться, что пользователь Windows, которого вы используете в настоящее время, именован английскими символами.
  • Иначе рекомендуется создать нового пользователя.

Включено ли прямое ускорение?

Решение

• Зажимаем «Win+R».
• Вводим «dxdiag».
• Переходим в вкладку «Дисплей».
• Находим поле «Возможности DirectX».
• Все должно быть включено так, как на картинке ниже.

Если что то выключено, то проблема скрывается в в следующем:

• Битые драйвера;
  • Проверьте в «Диспетчере устройств» и обновите все драйвера через меню «Свойства».
• Не новый Дирекс;
  • Обновите до версии указанной в системных требованиях.
• Ускорение железа;
• Сторонние программы для ускорения;
• Электронные компоненты перестали работать или не соответствуют требованиям.

Вы установили PhyX?

Решение

Для пользователей видеокарт ATI для запуска игры необходимо всего лишь установить драйверы PhyX. Сам physxloader.dll подставится автоматически при установке драйвера.

• Иногда physxloader.dll нужно скопировать в корень с игрой, заменив уже существующий и в системную папку «C:WindowsSystem32».
• После чего это «*.dll» необходимо зарегистрировать, для этого:
  • Нажмите «Win+R».
  • Введите «regsvr32.exe physxloader.dll».

Режим совместимости

Решение

• Конкретный метод заключается в том, чтобы щелкнуть правой кнопкой мыши значок игры.
• Выбрать «Свойства».
• Найти вкладку «Совместимость».
• Установить флажок «Запустить эту программу в режиме совместимости».
• Выбрать, какую операционную систему использовать.

Ваша игра для Windows Live установлена?

Решение

Кликните на ссылку и скачивайте .NET Framework с нашего сайта или испробуйте все способы из приведенной инструкции и перейдите на страницу загрузки платформы внизу инструкции.

Замена операционной системы

По запросам заметно, что эта проблема очень распространена на 64-битных компьютерах, и в редких случаях она встречается и на системах x32. Поэтому рассмотрите возможность перехода на 32-битную ОС. Вероятность этой проблемы будет значительно снижена.

Аппаратное обеспечение

Если эта проблема все еще возникает даже после смены операционной системы, она может быть вызвана оборудованием.

Часто задаваемые вопросы

Игры, которые я запускаю, имеют спецэффекты DirectX 11, будет ли это иметь какое-то отношение к Дирекс 9?

На самом деле, ради совместимости приложений компании часто разрабатывают игрушки на основе 9-ой версии, а затем добавляют специальные эффекты от 10-ки и 11-ой.

Есть ли проблема с DirectX, которая влияет на последние игры?

Да, дело в том, что Windows старых версий поддерживают самые основные компоненты Дирекс, а игре часто нужны более продвинутые (такие как d3dx9_42.dll, xinput1_3.dll…). В системе отсутствуют эти ключевые файлы, из-за чего игра не запустится или появится ошибка 0xc000007b.

Некоторые люди могут спросить: я уже установил DirectX 9.0 и C++, но они все равно не работают?

Здесь кроется важная вещь: 32-битные системы должны устанавливать 32-битные файлы библиотек DirectX и C++, а 64-битные системы должны устанавливать файлы библиотек с типом разрядности данных как x32-а, так и x64-е бита, что является ключом к решению этой проблемы.

Синий экран (BSOD) с кодом ошибки 0x0000007B возникает при загрузке операционной системы. Больше всего с ней сталкиваются пользователи Windows 7. В основном ошибка возникает, когда компьютер внезапно теряет доступ к системному разделу во время запуска.

По информации пользователей из различных сообществ можно выделить несколько возможных причин, из-за которых внезапно возникает синий экран с ошибкой STOP 0x0000007B, прерывающий загрузку Windows.

1. Режим контроллера SATA отключен, либо неправильно установлен. Проблема может возникнуть, если конфигурация SATA отключена или неверно установлены режимы ATA / AHCI. Когда это происходит, Windows не может связаться с контроллером, так как два интерфейса используют разные драйверы и каналы связи. От синего экрана можно избавится путем включения правильного режима SATA-контроллера в настройках BIOS.
2. Второй жесткий диск с ОС путает последовательность загрузки. Ошибка также появляется, когда подключены два разных жестких диска или SSD, которые содержат ОС Windows. Это сбивает с толку загрузчик операционной системы. Для решения проблемы отключите второй диск и посмотрите, появляется ли синий экран при загрузке ОС.
3. Драйвер AHCI отключен в реестре. Еще одна причина заключается в том, что AHCI или RAID отключены в реестре, и которые не активируются после изменения режима SATA-контроллера.
4. Повреждение системного файла также может стать источником проблемы, когда дело доходит до появления синего экрана с кодом ошибки 0x0000007B. Ее можно решить запуском сканирования утилитами CHKDSK / DISM или путем восстановления системы.

Включение режима SATA-контроллера в Биосе

Для начала нужно проверить, верно ли включен в Биосе режим SATA контроллера (ATA или AHCI). Если установлен неправильно, Windows не сможет взаимодействовать с контроллером SATA, поскольку два режима используют разные драйверы и каналы связи.

Включите компьютер и начните нажимать на клавишу для входа в настройки BIOS (SETUP), которая отображается на первом экране.

Обычно клавиша должна отображаться на экране инициализации, но если ее пропустили или мешает заставка, то можете найти в инструкции на сайте производителя материнской платы.

Перейдите в раздел Advanced — IDE Configuration. В зависимости от версии BIOS, меню может выглядеть иначе. Настройки контроллера могут быть в разделах IDE Controller или SATA Configuration.

Установите значение на AHCI.

Сохраните текущую конфигурацию BIOS и перезагрузите компьютер, чтобы посмотреть, возникает ли ошибка на синем экране 0x0000007B.

Установлен второй жесткий диск с ОС Windows

Как оказалось, проблема может возникнуть при подключении двух жестких дисков (или SSD), на которых установлена ОС Windows. Иногда загрузчик при обнаружении второй ОС не может выстроить последовательность загрузки и прерывает запуск, выбрасывая ошибку синего экрана 0x0000007b. Поэтому, если недавно подключили дополнительный жесткий диск с Windows или установили на нем копию системы, отключите его и попробуйте загрузить компьютер.

Если загрузка прошла успешно, то для дальнейшего использования второго диска нужно удалить с него копию Windows. Если такое решение не применимо, перейдите к следующему способу.

Включение драйвера AHCI через реестр

После переключения в BIOS режима SATA-контролера на AHCI или RAID, при загрузке может отобразиться другое уведомление об ошибке — STOP 0x0000007B INACCESSABLE_BOOT_DEVICE. Эта проблема возникает в Windows 7 и указывает, что драйвер диска фактически отключен. Чтобы использовать интерфейс SATA/RAID, нужно активировать драйвер.

Включите компьютер, при появлении первого экрана нажмите несколько раз F8, чтобы открыть дополнительные параметры загрузки.

С помощью клавиш со стрелками выберите безопасный режим (или с поддержкой драйверов сети) и нажмите Enter.

После загрузки компьютера откройте диалоговое окно «Выполнить» нажатием на клавиши Win + R. Наберите команду regedit для входа в «Редактор реестра». При возникновении запроса контроля учетных записей нажмите «Да».

В левой части окна Редактора реестра перейдите по пути:

HKEY_LOCAL_MACHINESystemCurrentControlSetServicesMsahci

С правой стороны дважды кликните на параметр Start, измените значение на «0» и нажмите ОК для сохранения изменений.

Затем перейдите в раздел:

HKEY_LOCAL_MACHINESystemCurrentControlSetServicesiaStorV

Также дважды кликните по параметру Start, установите значение «0» и сохраните изменения нажатием на «ОК».

Закройте редактор реестра, и перезагрузите компьютер. Посмотрите, возникает ли ошибка синего экрана 0x0000007B.

Сканирование утилитой CHKDSK

Также возможно, что синий экран возникает из-за повреждения системных файлов. Сбой в системной области может повлиять на последовательность загрузки и вызвать циклическую ошибку BSOD 0x0000007B. Проблему можно решить путем сканирования CHKDSK из безопасного режима.

Утилита проверки диска проверит целостность файлов и метаданных, и исправит любые ошибки файловой системы, которые ей удастся найти. Это могут быть поврежденные записи в таблице файлов тома (MFT), сбойные дескрипторы безопасности, несогласованные отметки времени или сведения о файле.

Включите компьютер и на первом экране нажмите несколько раз F8 для входа в расширенные параметры загрузки. Переместите курсор клавишами со стрелками на безопасный режим и нажмите Enter.

После загрузки наберите в строке системного поиска команду cmd, кликните на найденную позицию правой кнопкой мыши и выберите «Запуск от имени администратора». При отображении запроса от системы контроля учетных записей нажмите кнопку «Да».

В консоли командной строки наберите следующую команду и подтвердите ее запуск на Enter:

chkdsk /f

После завершения сканирования перезапустите компьютер и проверьте, устранена ли ошибка синего экрана 0x0000007B

Восстановление системы

Если не удалось обойти синий экран указанными способами, попробуйте запустить восстановление системы, в ходе которого будут перезаписаны компоненты Windows, включая процессы, связанные с загрузкой. Эта процедура предпочтительнее за чистую установку, поскольку сбрасывает все компоненты Windows, сохраняя при этом все личные данные (фото, видео, приложения и игры).

Не так давно я столкнулся с одной, достаточно редко встречающейся в моей практике, ошибкой. Она носит название «Ошибка при запуске приложения (0xc000007b)» и влечет за собой отказ в запуске приложения в операционной системе Windows. Проще говоря, некоторые приложения перестают запускаться вообще, либо всё же запускаются, но далеко не всегда. Щелкаешь в проводнике по имени запускного exe-модуля, либо пытаешься запустить исполняемый файл из командной строки, и наблюдаешь следующую картину:

Забавно, но что то в этой ошибке c000007b показалось мне знакомым, моя дырявая долговременная память сохранила смутные образы подобных проблем еще с незапамятных времен, при этом не оставив никаких ясных обстоятельств. Изучая информацию по данной ошибке в Сети я начал припоминать, что наблюдал подобные ошибки еще во времена Windows 2000, но на самом то деле характерны они были для исполняемых бинарных модулей аж со времен Windows 98, просто формулировались иначе. Начиная с версии Windows 2000 и по сей день ошибка c000007b выглядит в точности так, как представлено выше, и, скорее всего, на протяжении нескольких поколений ОС имеет родственные причины возникновения. Специфика найденного мной в Сети материала заключалась в том, что давались многочисленные рекомендации по исправлению, однако не было никакой конкретики по причинам, в связи с чем появилось желание попытаться изучить проблему самостоятельно.

Знаете, мне порой достаточно сложно так вот «с ходу» понять происходящее, я думаю вся загвоздка тут заключается в ограниченности моих знаний по архитектуре операционной системы, их явно не достаточно для того, чтобы понять, где находится источник ошибки, на каком уровне кода она возникла, какая подсистема обработала и вывела ошибку на экран. В конечном счете ведь именно подобные, глубокие знания системы и позволяют нам понимать принципы функционирования и причины тех или иных системных ошибок. Поэтому, сегодня мы будем изучать данный вопрос сообща, так сказать «на живую», так что будьте готовы ко всякого рода неточностям. Что мы можем сказать о проблеме? Судя по всему, она может лежать как внутри так и вне конкретного исполняемого образа, поскольку в наблюдаемой мной однажды, затронутой проблемой системе, ошибка возникала при запуске абсолютно разных приложений. К сожалению, проблемную систему необходимо было «поднимать» в кратчайшие сроки, поэтому не было возможности продолжить детальное изучение, и позже я вынужден был воспроизводить ошибку на другой, абсолютно здоровой системе.

Данная статья представляет собой всего-лишь теоретические выкладки по исследованию загрузчика образов операционной системы Windows. Изучение проводилось с целью создать базис для предполагаемого дальнейшего изучения особенностей кода загрузчика. На данный момент рекомендаций по исправлению ошибки c000007b в данной статье не предоставлено, поскольку практика показала неоднозначность популярных решений с использованием утилит Dependency Walker и Process Monitor.

Формат исполняемых файлов

Приступим. Для начала давайте посмотрим, что же нам сообщают разработчики об ошибке со статусом c000007b на официальной странице значений NTSTATUS? Ошибка носит символическое имя STATUS_INVALID_IMAGE_FORMAT (НЕКОРРЕКТНЫЙ ФОРМАТ ОБРАЗА), а в описании к ней присутствует следующая формулировка: «Образ либо не предназначен для выполнения в Windows или содержит ошибку..», ну и далее даются общие рекомендации. Как всегда, довольно пространное определение, не содержащее в себе значимых подробностей, однако уже позволяющее нам сделать как минимум два предположения:

1. ошибка может содержаться в служебных структурах заголовка основного запускаемого модуля (exe-файл);
2. ошибка может содержаться в подключаемых образах (dll-библиотеках);

Ну хорошо, а что же в себе таит утверждение о некорректном формате? Возможно, подразумевается некое повреждение структуры PE-образа? Но ведь близких по природе ошибок в PE-образе, чисто теоретически, может быть великое множество, и скорее всего так оно и есть. Одним словом, это утверждение о повреждении структуры исполняемого образа требует проверки и аргументации!! В свою очередь, для проверки следовало бы отследить, какой именно код ядра и на каком этапе выводит данное сообщение. Вероятно, если мы наблюдаем подобную ошибку до запуска приложения, то от момента щелчка правой кнопкой мыши по бинарному исполняемому файлу (например: exe-файл) в проводнике Windows (explorer.exe) и до непосредственного начала выполнения кода приложения, проходит некая скрытая от глаз пользователя работа на уровне ядра операционной системы и вот как раз эта самая работа иногда завершается с ошибкой. Одни вопросы порождают другие. Думаю, для лучшего понимания того, какая именно логика скрывается за безмолвием загрузки, надо сперва задаться вопросом «что же вообще такое представляет из себя исполняемый файл в среде Windows и как он загружается»? Всякий бинарный исполняемый файл в Windows построен на основе формата под названием PE (Portable Executable, переносимый исполняемый), который содержит в себе великое множество разнообразных секций, предназначенные для подготовки участков файла (они же блоки кода и данных), критичных для непосредственного выполнения приложения.

Portable Executable (PE) — формат исполняемых файлов и динамических библиотек, используемый в операционных системах Microsoft Windows. Фактически это довольно сложная структура данных, в которой содержится информация, необходимая системному загрузчику исполняемых образов, то есть коду ядра, который производит всю необходимую работу по подготовке исполняемого файла к непосредственному запуску (создание адресного пространства процесса, отображение файла в память, создание всех необходимых для функционирования системных конструкций и прч). В операционных системах Windows описываемый формат PE применяется при создания таких исполняемых файлов как: .exe, .dll, .sys и некоторых других.

Выходит, в системе имеется некий загрузчик образов (PE-загрузчик), естественно, ведь кто-то должен подготавливать код и данные к непосредственному исполнению. Это отлично укладывается в логику функционирования операционной системы, к тому же я про него время от времени краем уха слышал. Но это, извините, закопано где-то системе, с чего нам начать? Давайте начнем с малого, с формирования тестовой среды:

• Операционная система: Windows 7 Профессиональная (Русская), 32-разрядная (6.1.7601) (32-битную среду я выбрал для простоты, дабы WOW64 не вносил свои коррективы);
• Простой исполняемый модуль lasterr.exe из комплекта примеров FASM (EXAMPLESDLL) с минимумом подключаемых библиотек. Опять же, для простоты;
• Отладчик WinDbg (версия 10.0.14321.1024) из комплекта Debugging Tools for Windows (x86);
• Утилита Process Monitor;

Процесс загрузки образа

В моем случае, при отсутствии необходимых знаний, придется двигаться с самого начала, при этом интуитивно выискивая направления по косвенным признакам. Все те данные, которыми мы обладаем на текущий момент, подводят нас к мысли, что надо каким-то образом зацепиться за этот пресловутый загрузчик образов, но как? Единственное, что приходит в голову, так это использовать всеми нами любимую утилиту Process Monitor. Зная специфику программы, можно заранее предположить, что это будут лишь поверхностные сведения, поскольку утилита не покажет нам подробности многих этапов загрузки образа на выполнение. Но ведь что-то она нам все же даст, ведь пока мы идем в темноте и пытаемся нащупать хотя бы какие-то ориентиры для дальнейшего продвижения. Просто будем надеяться, что информация, предоставляемая нам утилитой Procmon поможет нам двинуться дальше, найти зацепку в виде каких-нибудь малозаметных деталей. Тут стратегия у нас будет достаточно простая, ничего необычного.

1. Из-под учетной записи с правами локального администратора запускаем утилиту Procmon;
2. В разделе Filter создаем фильтр на наше приложение lasterr.exe;
3. Останавливаем захват событий (Ctrl+E или иконка лупы на панели);
4. Очищаем лог (Ctrl+X или значок ластика на панели);
5. Снова включаем захват (Ctrl+E) событий;
6. Стартуем наблюдаемое приложение lasterr.exe, как обычно двойным щелчком из проводника;

Основной экран программы Procmon моментально заполняется событиями.
Изучая получившийся у нас лог событий, можно увидеть следующие этапы запуска приложения:

1. Образ приложения lasterr.exe загружается в адресное пространство собственного процесса по адресу 0x400000. То есть мы наблюдаем какой-то из этапов уже работающего загрузчика образов;
2. Образ системной библиотеки ntdll.dll загружается в адресное пространство процесса по адресу 0x77c30000. Эта библиотека всегда загружается первой?
3. Активизируется ускоритель prefetcher. В системной директории C:WindowsPrefetch проверяется .pf-файл(ы) для запускаемого приложения;
4. Чуть ниже мы можем увидеть группу событий по операциям (CreateFile, SetBasicInformationFile, QueryAttributeTagFile, CreateFileMapping, QueryStandardInformationFile) с библиотеками ntdll.dll, kernel32.dll, apisetschema.dll, kernelbase.dll, locale.nls, errormsg.dll, user32.dll и прочими. Судя по всему это не проецирование образов, а события, генерируемые prefetcher’ом;
5. Ниже по списку мы наблюдаем первые события с операцией Load Image, которые знаменуют собой загрузку необходимых приложению DLL библиотек в адресное пространство процесса;
6. Еще ниже по списку событий мы наблюдаем чтение ветки HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options. Имеется в виду механизм, которых позволяет запускать образы под отладчиком;
7. Далее мы видим считывание ключа реестра HKLMSOFTWAREMicrosoftWindows NTCurrentVrsionWindowsLoadAppInit_DLLs. Ключ ответственен за механизм AppInit_DLLs, который позволяет определить списки DLL, загружаемые в адресное пространство «каждого» процесса;
8. Далее идет работа с различными языковыми опциями и MUI;

Это все, что предоставляет нам Procmon. Но на самом деле в приведенном выше списке мы видим очень малую часть логики, так сказать её вершину. Обусловлено это тем, что Process Monitor показывает лишь то, до чего может сам дотянуться, и не отображает всего многообразия операций по подготовке приложения к запуску. (прим.: хотя, возможно я забыл отключить какие-то встроенные фильтры). Но даже малое порой представляет собой большое, все дело в точке зрения Давайте посмотрим, о чем на могут рассказать захваченные Process Monitor’ом события? Например, событие Load Image применительно к образу lasterr.exe по загрузке себя же самого по базовому адресу 0x400000 в адресное пространство процесса, определенно будет нам интересно. Щелкнем по нему пару раз и перейдем во вкладку Stack. Стек вызовов начинается с функции RtlUserThreadStart, которая является частью системной библиотеки ntdll.dll. Библиотека ntdll.dll предоставляет собой «родной» интерфейс (Native API) пользовательского режима для функций ядра, это своеобразный «мост» между функциями библиотек пользовательского режима и кодом, который реализует соответствующий функционал в ядре. Функция RtlUserThreadStart именуется подобным образом не спроста, название говорит само за себя, намекая нам на назначение данной функции. Предположительно она предназначена для старта потока внутри процесса, при содержит функционал части пользовательского режима.

RtlUserThreadStart — общая стартовая функция для всех потоков в Windows.

Вот уже есть у нас какая-никакая а зацепка в виде данной функции, с которой стартуют все потоки в Windows. Проходим далее по списку событий и в общем потоке обращаем своё внимание на событие Load Image, которое относится к загрузке библиотеки kernel32.dll. Поступаем аналогичным образом, выполняем двойной щелчок левой кнопкой мыши, открываем дополнительную информацию о событии, переходим на вкладку Stack и наблюдаем следующее:

Тут уже у нас в начале стека вызовов присутствует фрейм функции LdrInitializeThunk из библиотеки ntdll.dll. Странно, в этот раз стек начинается с другой функции, хотя, поскольку нам не известна взаимосвязь функций в библиотеке ntdll.dll, это мало нам о чем-то говорит, поскольку LdrInitializeThunk может вызываться позже, то есть во многих случаях мы можем иметь дело с одной и той же логикой.

LdrInitializeThunk — функция обратного вызова (режим ядра -> режим пользователя) в составе библиотеки ntdll.dll, которая не столько обратный вызов, сколько точка входа, с которой все потоки пользовательского режима начинают свое выполнение. Другими словами, создание любого потока пользовательского режима всегда происходит посредством данной функции. В некоторых источниках фигурирует как процедура инициализация загрузчика, начальный его этап, отвечает за инициализацию непосредственно загрузчика, менеджера кучи, таблиц FLS, NLS, TLS, структур критической секции. Судя по всему они с RtlUserThreadStart работают в связке, но как именно, пока не ясно.

Мы получили имена двух функций, которые, судя по всему, имеют отношение к созданию потока и подготовке его к выполнению. Теперь можно переходить непосредственно к практической части исследования. Надеюсь, перед началом экспериментов у Вас уже готова тестовая среда и установлены Debugging Tools for Windows из комплекта Windows SDK и в системную переменную Path добавлен путь к необходимой версии каталога с отладчиками. Теперь задача перед нами стоит не совсем тривиальная, поскольку нам необходимо поймать момент запуска приложения, до его непосредственного выполнения и даже до момента подготовки адресного пространства процесса. К превеликой нашей радости, основными отладчиками от Microsoft поддерживаются фильтры событий, которые включают отладочный сценарий начальной стадии загрузки приложения. Насколько я понял, он может быть активирован двумя путями:

• Настройка отладчика через GUI: через меню Debug — Event Filters. На фильтре события Create process указываем опцию Execution: Enabled. После перезапуска процесса отладчик остановится до функции LdrInitializeThunk.
• Запуском отладчика со специальными опциями командной строки.

Например, следующая команда позволяет изучить процесс и установить точку останова до того, как код пользовательского режима запустится:

windbg.exe -xe ld:ntdll.dll lasterr.exe

опция xe подразумевает останов после того, как библиотека ntdll.dll будет загружена в адресное пространство процесса. И не спроста, потому как в самом отладчике, в командной строке, мы должны поставить точку останова:

bp ntdll!LdrInitializeThunk

а затем продолжить выполнение командой «g». Для чего это все? А для того, чтобы пропустить некоторое количество кода, которое выполняется до функции LdrInitializeThunk. Мы бы в любом случае вышли на неё, однако потратили бы дополнительное время.
Отладчик останавливается на точке остановка в самом начале функции:

Ну, судя по всему, функция LdrInitializeThunk содержит (на верхнем уровне) вызовы всего трех функций: LdrpInitialize, ZwContinue, RtlRaiseStatus, причем, я так понимаю, две последних функции являются для нас не значимыми. Выполнив отладчиком по клавише F10 команду call ntdll!LdrpInitialize я убедился, что приложение запустилось. Получается, вся работа происходит в глубинах функции Ldrpinitialize, надо идти внутрь. Первым параметром в функцию LdrpInitialize передается адрес дампа PE-файла в адресном пространстве процесса, а вторым адрес какой-то неизвестной структуры (?). Судя по всему, когда я впервые остановился на точке останове в начале функции, в первом параметре я увидел адрес подмапленной в память библиотеки ntdll.dll, поскольку она загружается самой первой. С этого момента я опускаю ряд подробностей нахождения мест кода, которые могли быть ответственны за генерацию ошибки c000007b, поскольку описание всего процесса отладки превратило бы повествование в бесконечное. Скажу лишь, что всю работу по анализу кода я проводил при помощи отладчика WinDbg и дизассемблера IDA.

Первая причина

Первая удача сопутствовала мне при обработке функции LdrpSnapIAT. Очередной раз анализируя код я поставил точку останова на данную функцию, и при выполнении отладчик остановился на следующем коде:

Самое последнее условие je ntdll!LdrpSnapIAT должно уводить нас на следующую ветку кода:

Понятное дело, что в штатном режиме управление туда не передается, поэтому я просто взвел флаг zero, чтобы принудительно инициировать переход. Ну и в самом конце фрагмента кода мы видим долгожданную команду mov eax, 0C000007Bh, после чего я запускаю выполнение командой g и.. вот оно:

Первая ласточка! Теперь осталось выяснить, что же это за фрагмент кода и что проверяют данные условия. Изначально условия перехода на код с генерацией ошибки содержат проверку возвращаемого из функции RtlImageDirectoryEntryToData значения.

Судя по описанию с MSDN, данная функция ищет запись внутри PE-заголовка и возвращает адрес данных для этой записи (при наличии возвращает заголовок секции (IMAGE_SECTION_HEADER)) и длину, а случае ошибки возвращает ноль. Используется для поиска различных таблиц в PE-файлах.

Получается эта функция предназначена для получения секций подключаемых библиотек? Ничего не понятно, необходимо как то понять все происходящее в целом, так сказать откатиться назад, а для этого нам надо посмотреть стек вызовов:

Похоже что за инициализацию процесса отвечает функция LdrpInitializeProcess, которая, на определенном этапе своей работы начинает загружать библиотеки, необходимые для работы основного приложения, при помощи функции LdrLoadDll, а та, в свою очередь, начинает просматривать таблицу импорта и заполнять Import Address Table (IAT) через функцию LdrpSnapIAT. Однако стек не всегда остается подобным, при прогоне программы по команде g и остановке на точке останова, стек вызовов иногда меняется, показывая, что код загружает модули, присутствующие в таблице импорта.

Функция LdrpSnapIAT «связывает» таблицу адресов импорта с импортируемыми DLL библиотеками, перезаписывает каждую запись в таблице адресов импорта актуальным адресом импортируемой функции.

В коде функции LdrpSnapIAT имеется вызов функции RtlImageDirectoryEntryToData, которая, в свою очередь, использует RtlImageDirectoryEntryToDataEx, а та вызывает функцию RtlpImageDirectoryEntryToData32, которая уже проверяет следующие условия:

1. Если значение входного параметра DirectoryEntry (Порядковый номер требуемой записи каталога) больше или равно (>=) значения PeHeader.OptionalHeader.NumberOfRvaAndSizes (число записей в массиве DataDirectory. обычно имеет значение 16); Поскольку DirectoryEntry может иметь только определенные значения: IMAGE_DIRECTORY_ENTRY_ARCHITECTURE (7), IMAGE_DIRECTORY_ENTRY_BASERELOC (5), IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (11), IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR (14), IMAGE_DIRECTORY_ENTRY_DEBUG (6), IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT (13), IMAGE_DIRECTORY_ENTRY_EXCEPTION (3), IMAGE_DIRECTORY_ENTRY_EXPORT (0), IMAGE_DIRECTORY_ENTRY_GLOBALPTR (8), IMAGE_DIRECTORY_ENTRY_IAT (12), IMAGE_DIRECTORY_ENTRY_IMPORT (1), IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG (10), IMAGE_DIRECTORY_ENTRY_RESOURCE (2), IMAGE_DIRECTORY_ENTRY_SECURITY (4), IMAGE_DIRECTORY_ENTRY_TLS (9), он действительно не должен быть >=16!
2. Если значение поля PeHeader.DataDirectory.Export библиотеки = 0. В коде функции для поиска местоположения структуры Object Table используется yнивеpсальная формула: pe_header_offset + rva_entries_number*8 + 78h; здесь: pe_header_offset — смещение от начала файла до PE-заголовка (смещение 3Ch), rva_entries_number — количество записей в таблице объектов. После вычисления мы попадаем на первую запись структуры IMAGE_DATA_DIRECTORY, которая содержит относительный адрес (RVA) таблицы экспорта. Предположение: в уже загруженной в адресное пространство процесса DLL, которая должна предоставлять экспортируемые функции нашей основной программе (иначе бы она не была загружена), отсутствует таблица экспорта? Подобная ситуация не допустима и явно ошибочна.

Вот по этим то условиям на выходе мы и видим ошибку c000007b. Чтобы понять что же происходит в глобальном плане, следует принимать во внимание, что нашему приложению требуются внешние DLL, которые содержат функции, необходимые для выполнения. В свою очередь сама подключаемая DLL может импортировать функции из других библиотек, что создает своеобразный каскад загрузок. Загрузчик должен пройти по таблице импорта каждой библиотеки и понять её зависимости. Вот именно на определенных моментах этих проходов и возникают описанные выше проверки различных структур библиотек.

Когда после запуска исследуемого приложения под отладчиком, при первом останове на функции LdrpSnapIAT пытаешься принудительно выйти на данную ветку кода, то ошибка не появляется! Могу предположить, что при первом вызове функции анализируется какая-то важная системная библиотека, поскольку из данных Procmon было видно, что первой загружается ntdll.dll, то можно предположить что так оно и есть. Соответственно, отказ в загрузке её самой (вероятно) не может быть завершен ошибкой, и загрузка приложения lasterr.exe в этом случае просто «тихо» завершается не выводя никаких сообщений, иными словами приложение не запускается без каких-либо ошибок, просто ничего не происходит. Поэтому, я несколько раз выполнил команду g и начал анализировать функцию со второго и последующих её вызовов, что дало видимые результаты.

В дополнение к вышеизложенному, ветвления кода, приводящие к генерации приложением ошибки c000007b удалось найти в следующих функциях:

Код, подобный тому, что был обнаружен в описанных выше функциях, при определенных условиях приводящих к ошибке c000007b, я встречал и в других функциях библиотеки ntdll.dll, однако не смог заставить его сгенерировать ошибку. Поэтому, количество причин, приводящих к возникновению ошибки, может быть несколько больше, что-то я мог и упустить. Однако даже те условия, которые были мной озвучены, уже могут подвести нас к определенным выводам.

Общее решение

Можно встретить две основные рекомендации по устранению ошибки c000007b:

1. В некоторых случаях для решения подобной проблемы предлагается использовать утилиту Dependency Walker, которая позволяет просматривать импортируемые и экспортируемые сбойным модулем библиотеки, и, соответственно, выявить библиотеки, которые по тем или иным причинами не смогли подгрузиться. Но средство позволяет выявить лишь часть причин возникновения ошибки c000007b, поскольку:

   как было показано выше, ошибка c000007b может генерироваться по нескольким условиям внутри кода загрузчика исполняемых образов операционной системы Windows, и не все из этих условий напрямую связаны с [недоступностью] импортируемых и экспортируемых функций подключаемых к модулю библиотек.

   ..к тому же, DW грешит еще и тем, что иногда не обнаруживает всех импортируемых модулем библиотек.

2. Еще одним решением служит утилита Process Monitor, которая позволяет собирать события по деятельности загрузчика исполняемых модулей и выявлять некоторые проблемы. Но и он зачастую не видит всех деталей работы кода загрузчика, к тому же не способен найти проблемы в ресурсных секциях и заголовках.

Тем не менее, описанные инструменты позволяют обнаруживать большинство причин возникновения ошибки c000007b, они могут быть использованы в качестве стартового инструментария, и уже при невозможности решить проблему с их помощью, единственным средством остается отладчик. Лишний раз хочется кинуть камень в огород разработчиков, поскольку они могли бы значительно облегчить определение причины ошибки c000007b путем расширения статусных кодов и введения подробного описания, однако это потребовало бы доработки загрузчика образов. Но поскольку подобная глобализация множества разнородных ошибок под одним статусным кодом в программах под Windows характерна еще со времен Windows 2000, думаю, что ситуация в ближайшее столетие не поменяется