Ошибка поиска keservicedescriptortable в ntoskrnl exe - ErrorsMaster.ru - большая энциклопедия ошибок и их решений

1) Пройдитесь утилитами для чистки остатков антивирусов Касперского и др. Веб https://safezone.cc:443/threads/chistka-sistemy-posle-nekorrektnogo-udalenija-antivirusa.58/
2)
Выполните скрипт в АВЗ (Файл — Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 StopService('Monfilt');
 StopService('Sparrow');
 ExecuteFile('schtasks.exe', '/delete /TN "Adobe Flash Player Updater.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Apple Computer Updater.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Apple Computer Updater2.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "join.me Updater.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "join.me Updater2.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Обновление Браузера Яндекс .job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Обновление Браузера Яндекс.job" /F', 0, 15000, true);
 DeleteService('Monfilt');
 DeleteService('Sparrow');
 RegKeyDel('hklm', 'SOFTWAREMicrosoftShared ToolsMSConfigstartupregAsioReg');
 RegKeyDel('hklm', 'SYSTEMCurrentControlSetServicesEventlogApplicationBonjour Service');
 RegKeyDel('hklm', 'SYSTEMCurrentControlSetServicesEventlogDoctor Web');
 RegKeyDel('hklm', 'SYSTEMCurrentControlSetServicesEventlogKaspersky Event Log');
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

3) — Исправьте с помощью утилиты ClearLNK следующие ярлыки

C:Documents and SettingsJaneГлавное менюПрограммыRaidCall.lnk
C:Documents and SettingsJaneГлавное менюПрограммыUninstall RaidCall.lnk
C:Documents and SettingsAll UsersГлавное менюПрограммыCreativeTechnical Support.lnk
C:Documents and SettingsAll UsersГлавное менюПрограммыCreativeSound Blaster Audigy 2 ZSWelcome Menu.lnk
C:Documents and SettingsJaneИзбранноеЯрлык для 7Q6EA9tZYAg.lnk
C:Documents and SettingsJaneРабочий столрабстол-авг-последjoin.me.lnk

4) По оставшимся проблемам создайте тему в разделе Компьютерная помощь прикрепив свежий лог GSI. Только очень советую подождать пока не выполните проверку SFC. Так как после этого ошибок в работе ОС скорее всего станет меньше.

6 после скрипта в ЮВС и повторного автологгера чётт- то комп тарахтеть стал ( повышенный шум)

совпадение, с работой утилит никак не связано.

1.2 Поиск перехватчиков API, работающих в KernelMode

не обращайте на это внимание. Это нормально.

Изменено 5 сентября, 2018 пользователем regist

Источник

nike_zp

Гость

Как узнать значение переменной KeServiceDescriptorTable, которая экспортируется из микроядра ntoskrnl.exe


	Записан

SlavaI

Главный специалист

Offline Offline

Как узнать значение переменной KeServiceDescriptorTable

Если переменная экспортируется- то напиши ее имя и все.
ULONG ptr=KeServiceDescriptorTable;
и заранее объяви ее, если не объявлена
extern PSERVICE_DESCRIPTOR_TABLE KeServiceDescriptorTable;

Начиная с Windows NT 4.0 нельзя называть систему микроядерной, ядро монолитное с возможностью динамического подключения драйверов и модулей.


	Записан

point

Гость

на мой взгляд это достаточно странное утверждение… на сколько я понимаю ядро 3.x отличается от 4-го тем что в 4-м в ядро добавились GUI сервисы — как это могло повлиять на «микроядерность»?

point.


	Записан

SlavaI

Главный специалист

Offline Offline

До NT 4 графическая подсистема жила в отдельном процессе, что позволяло говорить о некоторых признаках микроядерности, начиная с 4 версии графическая подсистема стала обыкновенным драйвером. Вот так и повлияло- не микроядерная система- это бесспорно, такое же мнение имеют D. Solomon и M. Russinovich, с ним можно ознакомится в книге «Windows 2000 Internals». Ядро не микроядерное- нет ни одного признака микроядерности. Все драйвера, даже видеоподсистемы, находятся в одном адресном пространстве. Крах одного драйвера означает крах системы. Код всех драйверов отображается на адресное пространство всех процессов.
Микроядерная система грузит большую часть драйверов в отдельные процессы, именно поэтому она и называется микроядерная, как пример Windows CE имеет несколько процессов- один на ядро nk.exe, второй для загрузки драйверов, третий для видеоподсистемы и устройств ввода, четвертый для драйверов файловой системы. Для обращения к драйверам необходимо переключение процессов, причем при желании можно не запускать например процесс графической подсистемы, если он не нужен.
Или посмотри на ядро Mach.


	Записан

point

Гость

на счет «нет ни одного признака микроядерности», вопрос спорный, однако называть ядро NT исключительно монолитным я бы не стал. признаки «микроядерности» все же присутствуют. готов согласится в том это ядро не является чисто «микроядерным», это скорее помесь монолитного ядра с микроядерным.

point.


	Записан

nike

Гость

В структуре, на которую указывает эта переменная, есть поле — массив, который содержит адреса сервисов. Так вот, вопрос в том как, например, узнать значение этого массива с индексом 20 (NtCreateFile). Я обращаюсь, как к обычному массиву(типа addr=mas[20] Ага , но выводится ошибка, что размер этого массива неизвестен.

P.S. Я основываюсь на статье http://he4dev.e1.bmstu.ru/HookSysCall/


	Записан

SlavaI

Главный специалист

Offline Offline

структуре, на которую указывает эта переменная, есть поле — массив, который содержит адреса сервисов. Так вот, вопрос в том как, например, узнать значение этого массива с индексом 20 (NtCreateFile). Я обращаюсь, как к обычному массиву(типа addr=mas[20], но выводится ошибка, что размер этого массива неизвестен.

Странно. Это же обыкновенный С.

Это наверно из-за
typedef void* SSTAT[];
у массива неизвестный размер, переопредели как
typedef void** SSTAT;
или
typedef void* SSTAT; в зависимости от того что понимаешь под этим.


	Записан

Yura

Гость

Народ А существут ли функция INT2Eh чтения/записи в физические
сектора жёсткого диска? А то я чёта такой API-функции не помню
и соответственно не могу применить методику изложеную в: http://he4dev.e1.bmstu.ru


	Записан

SlavaI

Главный специалист

Offline Offline

А существут ли функция INT2Eh чтения/записи в физические
сектора жёсткого диска?

NtReadFile/ NtWriteFile для объекта DeviceHarddiskNDRN (или DeviceHarddiskNPartition0 в <=NT 4), где N — номер физического диска.


	Записан

point

Гость

а что за метод описанный у he4 требует чтения физ. секторов hdd?

point.


	Записан

Yura

Гость

NtReadFile/ NtWriteFile для объекта DeviceHarddiskNDRN (или DeviceHarddiskNPartition0 в <=NT 4), где N — номер физического диска.

Спасибо это уже что-то.
Я так понял что для записи в в любое устройство (COMпорт, файл, физический
сектор) используется один и тот же системный сервис
mov ax,const1
int 2Eh
связаный с API функциями NtReadFile/ NtWriteFile

а что за метод описанный у he4 требует чтения физ. секторов hdd?

Нет там изложен метод получения через функции API номера функции (или функций) прерывания INT 2Eh. (в рамках более общей задачи)
Методы описаные в he4 не требуют чтения физ. секторов hdd
просто у меня есть идея к которой я иду медленно но упорно.


	Записан

SlavaI

Главный специалист

Offline Offline

Я так понял что для записи в в любое устройство (COMпорт, файл, физический
сектор) используется один и тот же системный сервис
mov ax,const1
int 2Eh
связаный с API функциями NtReadFile/ NtWriteFile

Правильно понял. А связано это с тем, что почти у всех драйверов для записи на то чем они управляют используется один код- IRP_MJ_WRITE, который и делает NtWriteFile. Иногда используют RP_MJ_DEVICE_CONTROL, но это уже реже.


	Записан

SlavaI

Главный специалист

Offline Offline

Кстати- тема чтения с диска обсуждалось на этих форумах, только не помню где, там даже примеры кода были приведены.


	Записан

Yura

Гость

to SlavaI

Спасибо за подробный коментарий но вопрос для меня так и остался
открытым:
Не найдуться ли вдруг обходные пути по которым какая-нибудь
специфичная APIфункция, не имеющая прямого отношения к чтениюзаписи на диск,
через другой системный сервис читаетпишет на диск в обход KeWriteFile/KReadFile.
Если это так то где надо поставить заплатку чтобы контролировать этот процесс. Если есть необходимость делать заплатку в виде драйвера
фильтра то интересно знать между какими драйверами её надо ставить и каков пртокол взаимодействия с драйвером более низкого уровня?


	Записан

SlavaI

Главный специалист

Offline Offline

Вот по диску у себя порылся и нашел код из обсуждения про прямое чтение с диска

#include <windows.h>

extern «C»
|
#include «NTDLL.h»
«
#define OBJ_KERNEL_HANDLE 0x00000200L

//#include «native.h»

#define BUFF_SIZE 0x2000

BYTE* buffer;//[512(;
LARGE_INTEGER byteoffset;

int _tmain)int argc, _TCHAR* argv[(:
|
UNICODE_STRING UnicodeFilespec;
OBJECT_ATTRIBUTES ObjectAttributes;
HANDLE FileHandle = NULL;
IO_STATUS_BLOCK Iosb;
NTSTATUS status;

// ULONG MessageLength = )ULONG:strlen)Message:;

RtlInitUnicodeString)&UnicodeFilespec, L»\Device\Harddisk0\DR0″:;
InitializeObjectAttributes)&ObjectAttributes,&UnicodeFilespec,
OBJ_INHERIT /*| OBJ_KERNEL_HANDLE*/,NULL,NULL:;

status = NtCreateFile)&FileHandle,GENERIC_READ,&ObjectAttributes,&Iosb,0,
FILE_ATTRIBUTE_NORMAL,FILE_SHARE_READ | FILE_SHARE_WRITE ,
FILE_OPEN,FILE_NON_DIRECTORY_FILE | FILE_NO_INTERMEDIATE_BUFFERING,NULL,0:;
if)!NT_SUCCESS)status::
wprintf)L»Error! In NtCreateFile, Error=0x%X n»,status:;
else
wprintf)L»File handle = %Xn»,FileHandle:;

buffer = )BYTE*:VirtualAlloc)NULL,BUFF_SIZE,MEM_COMMIT,PAGE_READWRITE:;
wprintf)L»buffer = 0x%Xn», buffer:;
memset)buffer,0x0,BUFF_SIZE:;

byteoffset.QuadPart=0x0000;
Iosb.uInformation = 0;
status = NtReadFile)FileHandle,NULL,NULL,NULL,&Iosb,buffer,BUFF_SIZE,&byteoffset,NULL:;
WaitForSingleObject)FileHandle,INFINITE:;

if)!NT_SUCCESS)status::
wprintf)L»Error in ZwReadFile = %X!n», status:;
else
|
printf)»Iosb.Information = %Xn», Iosb.uInformation:;
printf)»buffer[0( = %Xn»,buffer[0(:;
printf)»buffer[1( = %Xn»,buffer[1(:;
printf)»buffer[2( = %Xn»,buffer[2(:;
printf)»buffer[3( = %Xn»,buffer[3(:;
printf)»buffer[4( = %Xn»,buffer[4(:;
printf)»buffer[5( = %Xn»,buffer[5(:;
printf)»buffer[6( = %Xn»,buffer[6(:;
printf)»buffer[7( = %Xn»,buffer[7(:;
printf)»buffer[8( = %Xn»,buffer[8(:;
printf)»buffer[9( = %Xn»,buffer[9(:;
»

NtClose)FileHandle:;
return 0;
»


	Записан

Yura

Гость

Спасибо за пример.
Надеюсь мои опасения напрасны о обходного пути записи/чтения на диск не существует (в рамках стандартной поставки О.С.)


	Записан

SlavaI

Главный специалист

Offline Offline

Надеюсь мои опасения напрасны о обходного пути записи/чтения на диск не существует (в рамках стандартной поставки О.С.)

По моему нет. Выбор у приложений такой- или Nt(Zw)Read/WriteFile или Nt(Zw)DeviceIoControlFile.


	Записан

Источник

Before Posting…

Please check out the Community Guidelines in the Announcements and Administration Category.

More Info on Driver Writing and Debugging

The free OSR Learning Library has more than 50 articles on a wide variety of topics about writing and debugging device drivers and Minifilters. From introductory level to advanced. All the articles have been recently reviewed and updated, and are written using the clear and definitive style you’ve come to expect from OSR over the years.

Check out The OSR Learning Library at: https://www.osr.com/osr-learning-library/

Hi,
I have a question with respect to accessing the system service dispatch
table on win2k drivers.
I am trying to access the SSDT structure exposed by NTOSKRNL as
KeServiceDescriptorTable in my driver routine. But when I try to build the
driver it is saying that KeServiceDescriptorTable is undeclared identifier.
Pls let me know which include file I have to include to get rid of this
compiler error.

Thanks in advance..

Sankarshana M

Howdy, Stranger!

It looks like you’re new here. Sign in or register to get started.

Upcoming OSR Seminars
OSR has suspended in-person seminars due to the Covid-19 outbreak. But, don’t miss your training! Attend via the internet instead!
Internals & Software Drivers	19-23 June 2023	Live, Online
Writing WDF Drivers	10-14 July 2023	Live, Online
Kernel Debugging	16-20 October 2023	Live, Online
Developing Minifilters	13-17 November 2023	Live, Online

Источник

Во время работы или при включении компьютера внезапно может появиться так называемый «синий экран смерти». Если вчитаться в текст, написанный поверх, то там будет указана причина сбоя – некорректная работа файла Ntoskrnl.exe. Этот элемент очень важен для функционирования ОС, и когда с ним что-то происходит, пользоваться ПК становится невозможно.

Что такое Ntoskrnl.exe

Когда вы включаете компьютер, запускается целый ряд служб, в том числе, Ntoskrnl.exe, который подготавливает к работе драйверы и визуализирует изображение на экране. При этом может произойти ошибка, что влечет за собой остановку процесса. Данная служба обычно располагается на диске «С» вместе с другими компонентами системы и занимает несколько папок: System32, Driver Cache и т. п.

Причины неисправности

Ошибка ntoskrnl.ехе может возникать по целому ряду причин:

Некорректный оверклокинг и андервольтинг, приведший к перегреву.
Физическое удаление файла (вообще-то это достаточно трудно сделать, но возможно, если использовать ПО, влияющее на системные элементы).
Повреждение/замена файла вирусом.
Повреждение записей в реестре.
Наличие проблемных или старых драйверов.
Внутренний системный сбой.
Сбой в работе винчестера.
ОС не обновлена до актуальной версии.
Повреждение или сбой в работе ОЗУ.

Возможные решения

Ошибка ntoskrnl.exe – это серьёзно, но не всегда фатально, и сейчас мы расскажем, как её исправить.

Для начала нужно добраться до «Десктопа» и получить доступ к функциям ПК, так как, синий экран закрывает собой все пространство.
Для этого выполните перезагрузку, и нажимайте клавишу F2 или Del (иногда бывают и другие варианты, это зависит от внутренней структуры системы ввода-вывода).
Перед вами развернутся опции БСВВ.
Выберите пункт Load setup defaults («Загрузить настройки по умолчанию»).
Кликните по F10, чтобы подтвердить выбор.
Снова перезапустите ПК – синий экран исчезнет, и можно будет переходить к исправлению ошибки.

Очистка реестра

Пока не вернулась ошибка ntoskrnl.exe с синим экраном (кстати, чаще всего она возникает на windows 7), нужно начать действовать. Первым делом попробуйте почистить реестр от неправильно выполненных и устаревших записей. Удобнее и безопаснее всего делать это с помощью специальных утилит, например, небезызвестной CCleaner.

Скачайте программу и установите её.
Откройте окно и слева в списке найдите главу «Очистка реестра».
Нажмите «Анализ» и дождитесь обнаружения всех проблемных записей.
Вверху укажите «Выделить все» и «Исправить выделенное».
Программа предложит сделать копию реестра – соглашайтесь, только сохраняйте ее не в «Документы» на диске «С», как указано по умолчанию, а в отдельную папку на диске «D».
После очистки запустите «Анализ» ещё раз – и так до тех пор, пока список повреждённых элементов не останется пустым.

Исправление диска

Далее нужно проверить системный диск и исправить кое-какие ошибки, если они будут обнаружены. Для этого:

Найдите значок «Компьютер» и разверните содержимое.
Дважды щелкните ПКМ по диску «С» (у вас он может называться как-нибудь еще – главное, помните, что нам нужен раздел, где хранится ОС);
Выберите последний пункт «Свойства», а затем подпункт «Сервис» и запустите проверку.
Компьютер может несколько раз перезагрузиться в процессе – это нормально, не волнуйтесь.

Для этих же целей проверяем внутренние системные файлы и исправляем неполадки следующим образом:

Нажмите Win+R и дождитесь появления небольшого окошка со строкой ввода.
Впишите в нее «cmd».
Теперь появится окно с черным полем, куда нужно ввести: «sfc/scannow» и нажать «Интер».
Также можно задать команду «chkdsk».

Подождите, пока не появится сообщение об успешном выполнении операции, а потом перезагрузите ПК.

Проверка на вирусы

Нередко причиной остановки запуска Windows бывают вирусы, которые удаляют файл Ntoskrnl.exe из корневой папки Winnt_rootSystem32. Не сбрасывайте со счетов такую возможность и обязательно проверьте систему:

Установите какой-нибудь хороший антивирус: Касперского, «Доктор веб», «Эсет» и т. п.
Запустите полную проверку всех дисков.
Дождитесь окончания процедуры (это может занять много времени, можно оставить на ночь).
Удалите все вредоносные файлы или переместите в карантин – лучше поступить так, как рекомендует антивирус.
Проверьте файловую систему на ошибки и восстановите все поврежденное, как это было описано выше.

Если вирус занесен какой-то программой, ее необходимо деинсталлировать. Скорее всего, добровольно удаляться она не захочет – тогда вам поможет деинсталлятор (например, Uninstall Tool) и опция «принудительное удаление».

Обновление ОС и драйверов

Иногда проблемы с ntoskrnl.exe и синий экран возникают из-за того, что система давно не обновлялась: в Windows 10 сложно отключить автоматическую установку пакетов, но в седьмой версии такое часто происходит – просто зайдите в Update Center и запустите обновления, а для драйверов оборудования скачайте их отдельно (только обращайте внимание на разрядность: x64 или х86 для 64-bit систем). Удалите все драйвера старого, не используемого оборудования: принтеров, графических планшетов, сканеров, МФУ и т.п. («Панель управления» — «Диспетчер устройств» — клик правой кнопкой по устаревшему устройству – команда «Удалить»).

Восстановление системы

И, наконец, если все предыдущие шаги не увенчались успехом, можно восстановить систему до того состояния, когда все нормально работало. Чтобы сделать это, нужно:

На Windows 7 последовательно открываем: «Пуск» – «Все программы» – «Стандартные» – «Служебные» – «Восстановление системы», на Windows 10 в «Поиск» наберите «Создание точки восстановления» и откройте соответствующий значок.
Нажмите «Далее» в появившемся окне и выбираем «Показать точки восстановления».
Выберите дату, когда компьютер стабильно работал.
Нажмите «Готово».

Дождитесь окончания процесса – ни в коем случае не выключайте компьютер из сети и позаботьтесь о том, чтоб у ноутбука не села батарея.

Источник

Иногда в работе операционной системы Windows случаются сбои, приводящие к ошибкам, которые могут проявляться по-разному. Последствие неисправной работы системного файла ntoskrnl.exe — синий экран. Windows 7 (x64 или x32) чаще всего “страдает” от этой неисправности, но другие версии ОС также подвержены риску. Рассмотрим способы решения данной проблемы.

Этот файл отвечает за инициализацию системных драйверов, загрузочного экрана (который видит пользователь при запуске ОС) и запускается системным загрузчиком NTLDR. Его название состоит из трех частей: «nt», «os» и «kernel», что означает «ядро операционной системы NT».

Расположение файла на диске не однозначное (папки «WINDOWS», «Driver Cachei386»), а его версия зависит от количества ядер процессора и размера оперативной памяти. Эта программа нагружает процессор в период активной работы, поэтому не стоит волноваться, — это не вирус.

Причины ntoskrnl.exe system

Источники возникновения проблем с ntoskrnl.exe:

удаление/повреждение файла пользователем или вирусом;
ошибки в системном реестре;
некорректная работа драйверов;
проблема с жестким диском;
отсутствие в системе необходимых обновлений;

Устранить эти причины можно самостоятельно, без обращения к компьютерному мастеру.