[Ololosh]

Petya V4sechkin,
спасибо, после установки обновления - неожиданные перезагрузки сервера прекратились

[gnomik8]

Petya V4sechkin, спасибо Вам большое, низкий поклон, Вы гений.

[Ololosh]

Интересует вопрос: вот открыл я дамп файл после бсода и как определить куда смотреть и в чём проблема? (файл с сервера win2008r2)
чтобы народ не дёргать

STACK_TEXT:
fffff880`07cc6738 fffff800`019522be : 00000000`00000050 fffffa80`0ac1f000 00000000`00000001 fffff880`07cc68a0 : nt!KeBugCheckEx
fffff880`07cc6740 fffff800`018d352e : 00000000`00000001 fffffa80`0ac1f000 fffffa80`123de600 fffffa80`0ac1f000 : nt! ?? ::FNODOBFM::`string'+0x3bc5f
fffff880`07cc68a0 fffff880`07a865c5 : fffff880`07cc6b78 fffff8a0`1f2ec114 fffff8a0`1f2ec138 00000000`00000000 : nt!KiPageFault+0x16e
fffff880`07cc6a30 fffff880`07a88a66 : fffff8a0`1f2fc095 fffff8a0`1f2fc095 fffff880`07cc6b60 00000000`00000000 : srv!SrvOs2FeaToNt+0x45
fffff880`07cc6a60 fffff880`07aa0ae8 : fffffa80`124407c0 fffff8a0`1f2ec114 fffff8a0`1f2ec010 00000000`00000000 : srv!SrvOs2FeaListToNt+0xc6
fffff880`07cc6ab0 fffff880`07a66dc5 : 00000000`00000000 fffff880`00000000 00000000`00010fe8 fffffa80`0ac0e010 : srv!SrvSmbOpen2+0xc8
fffff880`07cc6b60 fffff880`07aa93b7 : fffff8a0`1f2ec010 fffffa80`124f56c0 00000000`0000ff00 fffff880`07a38110 : srv!ExecuteTransaction+0xc5
fffff880`07cc6ba0 fffff880`07a1d798 : 00000000`00000000 fffff880`00000000 fffffa80`00000035 fffff880`0000f3d0 : srv!SrvSmbTransactionSecondary+0x3f7
fffff880`07cc6c30 fffff880`07a1d6b3 : fffffa80`124407c0 00000000`00000002 00000000`00000001 fffffa80`124407c0 : srv!SrvProcessSmb+0xb8
fffff880`07cc6cb0 fffff880`07a61a54 : fffffa80`123ec920 00000000`0000000d fffffa80`124407c0 fffffa80`124407d0 : srv!SrvRestartReceive+0xa3
fffff880`07cc6cf0 fffff800`01b70236 : fffffa80`124407c0 fffffa80`123de660 00000000`00000080 fffffa80`06a0a720 : srv!WorkerThread+0x174
fffff880`07cc6d40 fffff800`018c6706 : fffff880`02600180 fffffa80`123de660 fffffa80`123c0640 00000000`00000000 : nt!PspSystemThreadStartup+0x5a
fffff880`07cc6d80 00000000`00000000 : fffff880`07cc7000 fffff880`07cc1000 fffff880`07cc69e0 00000000`00000000 : nt!KxStartSystemThread+0x16

[Nerdy]

Ololosh, обычно в стеке смотрят на наличие сторонних(не Microsoft) файлов. Считается, что именно они вызывают BSOD.
В вашем случае все указывает на процесс srv(server).

[Илья_Рудоманенко@vk]

Важно! Актуальная проблема с апреля 2017 года: сбои в srv.sys из-за критических уязвимостей в протоколе SMBv1, описанных в Microsoft Security Bulletin MS17-010. »

На одном из форумов попался такой случай: DRIVER_IRQL_NOT_LESS_OR_EQUAL - Probably caused by : srvnet.sys ( srvnet!SrvNetWskReceiveComplete+7d )

Решение: установите соответствующее обновление для вашей операционной системы »

Проблема также решилась установкой обновления.

[Ololosh]

Nerdy, просто для srv.sys там же куча возможных проблем (драйвера,реестр, вредоносное по, жёсткий диск,память и тд), но почему-то посоветовали именно определённый фикс, который пока тьфу-тьфу-тьфу помогает.
Хотелось бы узнать, как на этот фикс вышли через дамп или там годы ассемблерной практики для этого должны быть?

[Petya V4sechkin]

Ololosh, в данном случае достаточно вбить в поиск в Интернете srv!SrvOs2FeaToNt и почитать пару ссылок.

[Ololosh]

Petya V4sechkin, понятно, спасибо

[Nerdy]

но почему-то посоветовали именно определённый фикс, »

Очень просто. Он исправляет дефекты кода в srv.sys.

[gnomik8]

https://yadi.sk/d/uTcSdAu23HRw3u
а то, что брутфорсить продолжают, сильно опасно? IP тайваньские, сотни таких собщений в журнале безопасности.

вчера

Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: NULL SID Имя учетной записи: - Домен учетной записи: - Код входа: 0x0 Тип входа: 3 Учетная запись, которой не удалось выполнить вход: ИД безопасности: NULL SID Имя учетной записи: administrator Домен учетной записи: *********** Сведения об ошибке: Причина ошибки: Неизвестное имя пользователя или неверный пароль. Состояние: 0xc000006d Подсостояние: 0xc0000064 Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x0 Имя процесса вызывающей стороны: - Сведения о сети: Имя рабочей станции: AD1 Сетевой адрес источника: 220.134.16.105 Порт источника: 52363 Сведения о проверке подлинности: Процесс входа: NtLmSsp Пакет проверки подлинности: NTLM Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.