1. 蓝屏概述：什么是BSOD、BSOD的历史演变、常见的BSOD类型与错误代码分类
1.1 什么是BSOD？
BSOD（Blue Screen of Death，蓝屏死机）是 Microsoft Windows 操作系统在遇到无法恢复的系统级错误时，强制终止系统运行并显示蓝色错误屏幕的机制。从内核角度看，BSOD 是 KeBugCheckEx 函数被调用的直接结果——当内核或关键驱动程序检测到违反系统安全、数据完整性或硬件不可恢复的状态时，会触发此函数，系统立即进入 BugCheck 流程，生成崩溃转储文件（Dump File）并停止所有用户模式与内核模式活动。
核心要点：BSOD 不是“系统崩溃”的随机表现，而是 Windows 内核在发现无法继续安全执行时的主动保护行为。每一次 BSOD 都对应一个明确的 BugCheck Code 和若干参数，这是逆向定位故障根因的起点。
1.2 BSOD 的历史演变
BSOD 的视觉与信息密度随 Windows 版本不断进化，理解其演变有助于快速识别不同时代的转储特征：
| Windows 版本 | BSOD 风格 | 关键变化 | 调试信息 |
|---|---|---|---|
| Windows NT 3.1 / 4.0 | 深蓝底 + 白色字符 | 字符模式，无图形元素 | 仅显示 BugCheck Code 与 4 个参数 |
| Windows 2000 / XP | 浅蓝底 + 深蓝字符 | 增加“*** STOP: 0x000000XX”格式 | 显示驱动模块名、堆栈回溯摘要 |
| Windows Vista / 7 | 浅蓝底 + 白色字符 | 引入“收集错误信息”进度条 | 增加转储进度百分比 |
| Windows 8 / 8.1 | 深蓝底 + 白色字符 + 悲伤表情 | 简化用户界面，隐藏技术细节 | 默认不显示 BugCheck Code，需手动查看 |
| Windows 10 / 11 | 深蓝底 + 白色字符 + 二维码 | 增加 QR 码链接到错误帮助页面 | 仍保留 BugCheck Code 显示（可配置） |
调试提示：在 Windows 8+ 系统中，BSOD 屏幕默认不显示详细的 BugCheck Code 和参数。要恢复传统调试信息，可在注册表
HKLM\SYSTEM\CurrentControlSet\Control\CrashControl 中设置 DisplayParameters = 1。
1.3 常见的BSOD类型与错误代码分类
BugCheck Code 是 32 位十六进制值，通常以 0xXXXXXXXX 格式表示。根据错误性质，可将其分为以下主要类别：
- 内存管理类（0x0A ~ 0x50）：如
IRQL_NOT_LESS_OR_EQUAL (0x0A)、PAGE_FAULT_IN_NONPAGED_AREA (0x50)，通常由驱动访问无效内存地址或错误 IRQL 级别引起。 - 数据结构损坏类（0x19 ~ 0x24）：如
BAD_POOL_HEADER (0x19)、NTFS_FILE_SYSTEM (0x24)，指向内核池损坏或文件系统元数据错误。 - 驱动与系统服务类（0x7B ~ 0xFE）：如
INACCESSIBLE_BOOT_DEVICE (0x7B)、DRIVER_POWER_STATE_FAILURE (0x9F)，与驱动加载、电源管理或 I/O 操作相关。 - 硬件与架构类（0x01 ~ 0x12）：如
APC_INDEX_MISMATCH (0x01)、MULTIPLE_IRP_COMPLETE_REQUESTS (0x12)，涉及 CPU 调度、中断或 IRP 处理异常。 - 安全与完整性类（0xC4 ~ 0xCA）：如
DRIVER_VERIFIER_DETECTED_VIOLATION (0xC4)，由 Driver Verifier 主动捕获的驱动违规行为。
实战注意：不要仅凭 BugCheck Code 的表面含义下结论。例如
0x0A 虽然归类为“IRQL 错误”，但根因可能是驱动访问了已释放的内存、硬件故障或系统文件损坏。必须结合 4 个参数 和 堆栈回溯 才能准确定位。
1.4 BSOD 触发流程与转储生成
理解 BSOD 的内部流程是解读转储文件的前提。下图展示了从错误发生到转储写入的完整路径：
1.5 错误代码分类速查表
以下表格列出逆向工程中最常遇到的 10 个 BugCheck Code，以及对应的典型驱动场景：
| BugCheck Code | 名称 | 典型驱动场景 | 常见根因 |
|---|---|---|---|
0x0000000A |
IRQL_NOT_LESS_OR_EQUAL | 驱动在 DISPATCH_LEVEL 访问分页内存 | 网卡驱动、存储驱动 |
0x0000001E |
KMODE_EXCEPTION_NOT_HANDLED | 驱动内发生未处理的异常 | 显卡驱动、USB 驱动 |
0x00000024 |
NTFS_FILE_SYSTEM | 文件系统驱动或过滤驱动损坏 | 防病毒过滤驱动、磁盘驱动 |
0x0000003B |
SYSTEM_SERVICE_EXCEPTION | 系统服务调用异常 | 第三方驱动、DirectX 驱动 |
0x00000050 |
PAGE_FAULT_IN_NONPAGED_AREA | 驱动访问无效非分页内存 | 内存损坏、驱动 Bug |
0x0000007E |
SYSTEM_THREAD_EXCEPTION_NOT_HANDLED | 系统线程内异常未处理 | 驱动线程、第三方驱动 |
0x0000009F |
DRIVER_POWER_STATE_FAILURE | 驱动电源状态转换失败 | 电源管理驱动、ACPI 驱动 |
0x000000D1 |
DRIVER_IRQL_NOT_LESS_OR_EQUAL | 驱动在错误 IRQL 访问内存 | 网络驱动、存储驱动 |
0x000000EA |
THREAD_STUCK_IN_DEVICE_DRIVER | 显卡驱动线程挂起 | GPU 驱动、显示驱动 |
0x00000133 |
DPC_WATCHDOG_VIOLATION | DPC 执行超时 | 存储驱动、NVMe 驱动 |
调试技巧：在 WinDbg 中，使用
!analyze -v 命令可以自动解析 BugCheck Code 和参数，并给出初步分析建议。但永远不要完全依赖自动分析——必须手动检查堆栈回溯中的模块名和偏移量，才能确认是哪个驱动文件触发了崩溃。