3. Verifier 内存池检测实战：池跟踪与特殊池

内存泄漏与越界是驱动开发中最常见、最难定位的缺陷。Driver Verifier 提供了池跟踪（Pool Tracking）和特殊池（Special Pool）两大机制，配合 WinDbg 的 !pool 和 !verifier 命令，可以精准定位泄漏源头和越界破坏点。本章通过实战配置与调试流程，带你掌握这套组合拳。

3.1 池跟踪（Pool Tracking）原理与配置

池跟踪记录每次内存分配的调用栈、大小、标签和线程。当驱动卸载时，Verifier 会检查是否有未释放的分配，并输出泄漏摘要。

3.1.1 启用池跟踪

使用 verifier.exe 命令行或 GUI 启用：

verifier /flags 0x00000001 /driver MyDriver.sys
verifier /flags 0x00000008 /driver MyDriver.sys   ; 单独启用池跟踪

常用标志位组合：

标志位	十六进制值	说明
特殊池	0x00000001	分配内存前后添加保护页
强制 IRQL 检查	0x00000002	检测错误 IRQL 下的内存操作
池跟踪	0x00000008	记录分配调用栈与泄漏检测
I/O 验证	0x00000010	验证 IRP 处理流程
死锁检测	0x00000020	检测锁顺序反转

3.1.2 池跟踪的泄漏报告

当驱动卸载时，Verifier 会在调试器输出类似以下信息：

Verifier: MyDriver.sys - 3 allocations outstanding (0x00000001 bytes)
Verifier: Pool tag 'TAG1' - 2 allocations (0x00000080 bytes)
Verifier: Pool tag 'TAG2' - 1 allocation (0x00000040 bytes)

这表示驱动卸载时仍有 3 块内存未释放，分别属于标签 TAG1 和 TAG2。

3.2 特殊池（Special Pool）原理与配置

特殊池在每次分配的内存前后插入不可访问的保护页（Guard Page）。一旦驱动越界写入，会立即触发 Bug Check 0xC1 (SPECIAL_POOL_DETECTED_MEMORY_CORRUPTION)，精确指出破坏位置。

3.2.1 特殊池的工作模式

• 前保护页：分配地址前 1 页标记为不可访问，检测下溢写入。
• 后保护页：分配地址后 1 页标记为不可访问，检测上溢写入。
• 填充模式：分配的内存区域初始化为 0xE3，释放后填充为 0xE4，便于识别未初始化或已释放内存。

3.2.2 启用特殊池

verifier /flags 0x00000001 /driver MyDriver.sys

也可以在 GUI 中勾选“特殊池”，并指定驱动名称。

3.3 WinDbg 分析命令实战

以下命令在 WinDbg 内核调试会话中使用，用于分析池状态和 Verifier 信息。

3.3.1 !pool 命令

!pool 显示指定地址或整个池的分配信息，包括标签、大小、进程、线程和分配类型。

kd> !pool 0xfffffa8001234567
Pool page 0xfffffa8001234567 region is Nonpaged pool
*fffffa8001234000 size:   80 previous size:    0  (Allocated) *TAG1
 Pooltag: TAG1 : My driver tag

关键字段：

字段	含义
size	分配大小（十六进制）
previous size	前一块大小
Allocated/Free	当前状态
Pooltag	4 字符标签，标识分配者

3.3.2 !verifier 命令

!verifier 显示 Verifier 的当前状态、已加载的验证驱动、池跟踪记录和特殊池统计。

kd> !verifier
Verify Level: 0x0000003B
Summary of All Verifier Statistics
  RaiseIrqls                    0x0
  AcquireSpinLocks              0x0
  ...
  Special Pool Allocations      0x12
  Special Pool Frees            0x0A
  Pool Tracking Allocations     0x20
  Pool Tracking Frees           0x15

常用子命令：

• !verifier 0x08 – 显示池跟踪的详细分配记录
• !verifier 0x01 – 显示特殊池的分配列表
• !verifier /dump – 导出所有 Verifier 缓冲区

3.4 实战流程：定位内存泄漏

以下步骤演示如何通过池跟踪定位泄漏的调用栈。

1. 启用池跟踪并加载目标驱动。
2. 执行驱动功能，触发内存分配。
3. 卸载驱动，观察调试器输出泄漏摘要。
4. 使用 !verifier 0x08 查看未释放分配的调用栈。

kd> !verifier 0x08
Pool Tracking: 3 allocations outstanding
  Address: 0xfffffa8001234000  Size: 0x80  Tag: TAG1
    Call stack:
      nt!ExAllocatePoolWithTag+0x123
      MyDriver!DeviceControl+0x45
      MyDriver!DriverEntry+0x78
  Address: 0xfffffa8001235000  Size: 0x40  Tag: TAG2
    Call stack:
      nt!ExAllocatePoolWithTag+0x123
      MyDriver!ProcessIrp+0x2A
      MyDriver!DriverEntry+0x90

从调用栈可以清楚看到泄漏发生在 DeviceControl 和 ProcessIrp 函数中，直接定位到源码行。

3.5 实战流程：定位内存越界

特殊池在越界发生时立即崩溃，分析步骤如下：

1. 启用特殊池并加载驱动。
2. 执行触发越界的操作，系统立即蓝屏（Bug Check 0xC1）。
3. 在 WinDbg 中分析崩溃转储，使用 !analyze -v 查看错误详情。

kd> !analyze -v
SPECIAL_POOL_DETECTED_MEMORY_CORRUPTION (c1)
  Special pool detected a corruption of a page
  Address: 0xfffffa8001234FFF
  Expected: 0xE3  Found: 0x00
  Allocating driver: MyDriver.sys
  Allocation size: 0x80
  Pool tag: TAG1

输出显示地址 0xfffffa8001234FFF 处的保护页被写入 0x00，而期望值为 0xE3，说明驱动在分配的内存后越界写入了 1 字节。

3.6 池跟踪与特殊池对比

特性	池跟踪	特殊池
检测目标	内存泄漏	内存越界
触发方式	驱动卸载时报告	越界时立即蓝屏
性能开销	中等（记录调用栈）	高（每分配 2 页）
定位精度	调用栈 + 标签	精确地址 + 期望值
适用场景	泄漏排查	越界/破坏排查

3.7 池跟踪与特殊池协作流程图

3.8 常见问题与避坑指南

• 池跟踪未输出泄漏：确认驱动卸载时调用了 DriverUnload 例程，且 Verifier 未因其他原因提前终止。
• 特殊池蓝屏地址不在驱动范围内：可能是堆栈破坏或野指针，使用 !address 和 !pte 进一步分析虚拟地址映射。
• 性能下降严重：特殊池开销极大，建议只对怀疑的驱动启用，不要全局开启。
• 池标签冲突：多个驱动使用相同标签会导致归属混淆，建议使用唯一 4 字符标签。

3.9 本章小结

池跟踪和特殊池是 Driver Verifier 中最强大的内存检测工具。池跟踪通过记录调用栈精确定位泄漏源，特殊池通过保护页机制在越界瞬间捕获破坏点。结合 WinDbg 的 !pool 和 !verifier 命令，你可以系统性地排查驱动内存问题，大幅提升调试效率。