☰

安装 Active Directory 后，Windows Server 2016 随机重启

tag-icon • tag-icon active-directory virtual-machines windows-server-2016
安装 Active Directory 后，Windows Server 2016 随机重启

我有一台装有 Windows Server 2016 的虚拟机，安装活动目录后它开始随机重启。

  • 我尝试安装来自不同来源的窗口。
  • 我在另一台主机上尝试过。

但网络是一样的，当我隔离网络（网络上有另一个活动目录）时，这个问题就解决了。

除了突然重启外，事件查看器中没有任何特殊登录。

我不知道，有什么解决办法吗？！

这是迷你转储文件分析：

PAGE_FAULT_IN_NONPAGED_AREA (50) 引用了无效的系统内存。这不能通过 try-except 进行保护，必须通过 Probe 进行保护。通常，地址是坏的，或者指向已释放的内存。参数：Arg1：ffffe08f0d0da000，引用的内存。Arg2：0000000000000002，值 0 = 读取操作，1 = 写入操作。Arg3：fffff8076b8b28b0，如果非零，则引用坏内存地址的指令地址。Arg4：0000000000000000，（保留）

调试细节：

无法读取错误驱动程序名称 TRIAGER: 无法打开分类文件：e:\dump_analysis\program\triage\modclass.ini，错误 2

WRITE_ADDRESS：无法获取 nt！MmSpecialPoolStart 无法获取 nt！MmSpecialPoolEnd 无法获取 nt！MmPagedPoolEnd 无法获取 nt！MmNonPagedPoolStart 无法获取 nt！MmSizeOfNonPagedPoolInBytes ffffe08f0d0da000

FAULTING_IP：srv！SrvOs2FeaToNt + 48 fffff807`6b8b28b0 c60300
mov 字节指针 [rbx]，0

MM_INTERNAL_CODE： 0

客户崩溃次数：1

默认存储桶 ID：WIN8_DRIVER_FAULT_SERVER

BUGCHECK_STR：AV

进程名称：系统

当前 IRQL: 2

TRAP_FRAME: ffff9081bdf026e0 -- (.trap 0xffff9081bdf026e0) 注意：陷阱框架不包含所有寄存器。某些寄存器值可能为零或不正确。 rax=0000000000000000 rbx=0000000000000000 rcx=ffffe08f0d0da000 rdx=ffffa609828a109a rsi=0000000000000000 rdi=0000000000000000 rip=fffff8076b8b28b0 rsp=ffff9081bdf02870 rbp=ffffa609828a1095 r8=0000000000000000 r9=000000000000000 r10=0000000000010000 r11=ffffe08f0d0da000 r12=0000000000000000 r13=0000000000000000 r14=00000000000000000 r15=0000000000000000 iopl=0 nv up ei ng nz na po nc srv!SrvOs2FeaToNt+0x48: fffff807 6b8b28b0 c60300 mov byte ptr [rbx],0 ds:0000000000000000=00 重置默认范围

LAST_CONTROL_TRANSFER：从 fffff801bfdb7945 到 fffff801bfd666f0

STACK_TEXT：ffff9081 bdf023e8 fffff801bfdb7945：00000000 00000050 ffffe08f0d0da000 00000000 00000002 ffff9081bdf026e0：nt！KeBugCheckEx ffff9081 bdf023f0 fffff801bfcc47ba：00000000 00000002 0000000000000000 ffff9081 bdf026e0 0000000000000200：nt！？？ ::FNODOBFM:: string'+0x41db5 ffff9081bdf024e0 fffff801 bfd6fcfc : ffff84d300000000 fffff801 bfce0cfd 0000000000000000 00000000 00000000 : nt!MmAccessFault+0x9ca ffff9081bdf026e0 fffff807 6b8b28b0 : 00003a856264534c 00000000 00000018 ffff9081bdf02998 ffff9081 bdf02990 : nt!KiPageFault+0x13c ffff9081bdf02870 fffff807 6b8b27f9 : ffffa609828a1095 ffffe08f 0d0d9ff8 3051324769414d62 ffffa609 828a1138 : srv!SrvOs2FeaToNt+0x48 ffff9081bdf028a0 fffff807 6b8d3ec3 : ffffe08f0e76ca60 00000000 00000000 ffffa60982891010 ffffe08f 0f2c52c0 : srv!SrvOs2FeaListToNt+0x125 ffff9081bdf028f0 fffff807 6b8dcebe : 0000000000000000 fffff807 00010fe8 ffffe08f0d0c9010 ffffe08f 0e76ca60 : srv!SrvSmbOpen2+0xc3 ffff9081bdf02990 fffff807 6b8e007b : ffffe08f0e78fdb0 ffffa609 82891010 0000000000000002 00000000 00001000 : srv!ExecuteTransaction+0x1be ffff9081bdf029d0 fffff807 6b86da4e : fffff80700000000 00000000 00000000 ffffe08f000000035 00000000 0000f3d0 : srv!SrvSmbTransactionSecondary+0x40b ffff9081bdf02a70 fffff807 6b86dc24 : ffffe08f0e76ca60 00000000 00000000 ffffe08f0e76d4d0 fffff807 6b878000 : srv!SrvProcessSmb+0x236 ffff9081bdf02af0 fffff807 6b8aca36 : ffffe08f0e8dd320 ffffe08f 0e76ca70 0000000000000000 ffffe08f 0e76ca70 : srv!SrvRestartReceive+0x114 ffff9081bdf02b30 fffff801 c0150668 : ffffa609831884c0 ffffe08f 0ca9b700 ffffe08f0f2c5180 00000000 00000080 : srv!WorkerThread+0x67a6 ffff9081bdf02bb0 fffff801 bfc1e729 : a001030a59840104 03020001 0208300a 0208300aa160e316 3020a107 03020001 : nt!IopThreadStart+0x34 ffff9081bdf02c10 fffff801 bfd6bbb6 : ffff9081bbe80180 ffffe08f 0f2c5180 fffff801bfc1e6e8 287e635c b3596583 : nt!PspSystemThreadStartup+0x41 ffff9081bdf02c60 00000000 00000000 : ffff9081bdf03000 ffff9081 bdefd000 0000000000000000 00000000`00000000 : nt!KiStartSystemThread+0x16

堆栈命令：kb

FOLLOWUP_IP：srv！SrvOs2FeaToNt + 48 fffff807`6b8b28b0 c60300
mov 字节指针[rbx]，0

符号堆栈索引：4

符号名称：srv！SrvOs2FeaToNt+48

FOLLOWUP_NAME：机器所有者

模块名称： srv

图像名称： srv.sys

调试_FLR_IMAGE_时间戳：57cf9c45

FAILURE_BUCKET_ID: X64_AV_srv!SrvOs2FeaToNt+48

BUCKET_ID：X64_AV_srv！SrvOs2FeaToNt+48

后续：MachineOwner

答案1

您的服务器似乎受到 SMB 漏洞的攻击。

srv！SrvSmbOpen2 + 0xc3
srv！SrvSmbTransactionSecondary + 0x40b
srv！SrvRestartReceive + 0x114

而你同时也间接地向我证实了这一点；

当我隔离网络时，这个问题就解决了

请关闭您的 SMB 端口。TCP 139、445、UDP 137 和 138，然后查看丢弃的数据包以确定罪魁祸首，请激活防火墙日志（选择记录丢弃的数据包)，然后进行检查；

%windir%\system32\logfiles\firewall\pfirewall.log

您将能够追溯该问题。

相关内容