absturz afd.sys

*hüstel* diplomarbeit informatik?

http://www.google-mag-alle-menschen-auch-dich.at

Our research identified a memory leak in afd.sys, a Microsoft driver called the Auxiliary Function Driver. Amongst other things, this driver handles tcp/ip communications.

so schnell kanns gehn... und schon findet man was...

hilft das?

lg, Phil.

nun gut.

erstens mal posten nicht viele leute hier obwohl sie nicht informatik studieren. sonst würds ja nicht informatik forum heissen... und die die posten haben sicher keine 41 posts, deswegen meine verwunderung....

hast du eine netzwerkanbindung? wenn ja, is sie dringend nötig?

ich würd mal alle netzwerkgeräte deaktivieren, egal ob dann das internet noch funktioniert oder nicht, und dann mal den fehler "reproduzieren" sofern das möglich ist... wenn nicht einfach mal weiterarbeiten und schaun obs wieder bluescreens gibt.

bin auch kein profi was jede einzelne datei bewirkt...

aber weiter googlen mit zusätzlichen wörtern hat mich auf diese webseite gebracht:

http://www.pc-magazin.de/praxis/windows…php?nr=1&id=223

vielleicht hilft dir das weiter, einen versuch isses allemal wert, aber bitte sichere vorher deine arbeit.

-> welches betriebssystem hast du denn?
-> welche hardware hast du als letztes installiert?
-> welches update ------//-----------

lg, Phil.

Zitat von MarvinTheRobot

... und die die posten haben sicher keine 41 posts, deswegen meine verwunderung....

Na na, so pauschalisieren kann man das auch nicht :ausheck:

hallo!

bei afd.sys handelt es sich um einen gerätetreiber, der im kernel mode läuft (d. h. nicht unter "dienste" zu finden ist) und normalerweise vom service control manager (services.exe) gestartet wird. er hat mit der netzwerk-unterstützung zu tun und wird von einigen anderen diensten und treibern verwendet.

im internet gibt es leider verschiedene schilderungen, die auf dein problem passen würden. ich kann dir leider nicht sagen, welche davon am besten zutrifft. ein blick ins ereignisprotokoll (systemsteuerung/verwaltung/ereignisanzeige) könnte aber helfen. vermutlich kannst du den treiber zwar deaktivieren (registry, wenn es dich interessiert kann ich noch eine anleitung posten), bestenfalls geht aber dann dein internetzugang bzw. netzwerk nicht, schlimmstenfalls wird einiges sehr instabil.

vielleicht kannst du aber das file mit dem speicherabbild posten (falls das zu finden ist), und evtl noch, was dein ereignisprotokoll sagt. und wie marvinTR schon gesagt hat, wäre interessant, was du zuletzt getan hast (bevor die ersten blue screens auftraten). ein test mit abgesteckter netzwerkhardware und einer mit deaktivierter netzwerkverbindung kann auch nicht schaden.

für deine diplomarbeit könntest du evtl von der knoppix-cd starten. aber als nicht-informatiker (daraus impliziere ich mal nicht-gnu/linux-freak) wird dich das wohl weniger begeistern also hoffe ich dass du deinen pc-hinbekommst.

lg michi

Zitat von stonemaster

jedesmal beim i-net surfen! installiert hab ich nichts! weder hard- noch software! hab win xp pro! netzwerkanbindung hab ich, brauch ich auch!

Zum Verständnis: Heißt das, Du hast zuhause ein LAN mit mehreren Rechnern? Die Kommunikation der Rechner untereinander (=netzwerkanbindung hab ich, brauche ich auch) funktioniert, das internet surfen (=...jedesmal beim i-net surfen) macht aber probleme?

Wodurch unterscheidet sich i-net surfen und netzwerkanbindung bei Dir? Hast Du zwei Netzwerkkarten? Ist die zum i-net Surfen vielleicht hin? Oder deren Treiber? // René!

Zitat von stonemaster

im ereignisprotokoll ist leider nichts zu finden! dieses speicherabbild find ich leider nicht! keine ahnung wo das abgelegt wird!

normalerweise in %windir%\minidump

Zitat von stonemaster

frage: DRIVER IRQL NOT LESS OR EQUAL, heißt das nicht, dass irgendwas mit der IRQ zuteilung nicht stimmt?!?! was kann ich dagegen tun?

IRQL bedeutet interrupt request level. das ist eine stufe des schedulers, in der sich das system befindet. nur auf der niedrigsten stufe bekommen auch user-level-prozesse prozessorzeit zugeteilt. ist das system in einer hohen IRQL-stufe, dann werden interrupts mit einem niedrigeren IRQL nicht bearbeitet. wenn ein treiber nun etwa einen seitenfehler verursacht (d.h. auf speicher zugreifen will, der gerade ausgelagert ist), während das system auf einer IRQL-stufe ist, die höher oder gleich dem sogenannten "dispatch level" ist, gibt es den blue screen mit der IRQL NOT LESS OR EQUAL-meldung. meist liegt das also daran, dass der treiber nicht richtig programmiert ist. mehr darüber findet man z. B. unter [1]. dagegen tun kannst du nicht wirklich etwas, es dürfte ein treiberproblem sein, dass bei einer spezifischen hardwarekonfiguration auftritt. vielleicht könntest du noch das speicherabbild suchen, vielleicht gibt es auch ein treiberupdate. aber ob AFD.SYS selbst oder eine andere komponente schuld ist, kann ich nicht wirklich sagen.

lg michi


referenzen:

[1] http://www.winntmag.com/Articles/Print.cfm?ArticleID=298

Zitat von stonemaster

das speicherabbild hab ich gefunden! kann ich aber nur mit visual studio öffnen! das hab ich nicht mehr installiert!

du könntest es zippen und posten. normalerweise sieht man so etwas mit einem hex-editor an. das visualstudio trägt sich dafür ein, zeigt das abbild dann aber nicht wirklich sinnvoll an (außer es gehört zu einem selbst entwickelten programm).

lg michi

minidump kann man nur mit vs öffnen.
nein. (vs ist obendrein dafür nicht gut geeignet)

da kann man nix machen
auch falsch.

da kann man nix machen ohne größeren aufwand
möglicherweise richtig.

Zitat von stonemaster

@ michi: hab das speicherabbild beigefügt! hoffe du kannst damit was anfangen

habe es schon angesehen, bin aber noch nicht schlauer.

ich werde aber morgen noch einen blick darauf werfen. super wäre auch, beim nächsten ausfall den bildschirmtext zu fotografieren oder so... diese informationen fehlen nämlich im minidump. der ist übrigens in unicode, was das lesen ohne ordentlichen hex-editor (nur mit visualstudio) ziemlich anstrengend macht

lg michi

Zitat von stonemaster

@ michi:

diesmal hab ich gerade rechtzeitig noch ein foto machen können; leider mit blitz (hab noch versucht ein zweites foto ohne blitz zu machen, da war das abbild aber schon fertig und der pc hat neu gestartet)
hoffe du kannst was finden, damit diese "lästige fliege" endlich verschwindet;
lg
stone

tut mir leid habe irgendwie gehofft dass die meldung selbst aufschlussreicher ist.. hatte bei mir schon ähnliche probleme, die ich anhand der fehlermeldung beheben konnte. vielleicht hilft dir eine reparatur des systems mit der installations-cd (nicht die recovery-konsole, sondern die installations-artige reparatur, bei der die systemdateien alle neu kopiert werden sollten). einen versuch ist es jedenfalls wert. alternativ könntest du auch mit den parametern von afd.sys herumspielen, siehe etwa [1] oder google-suche: "afd.sys", ich glaube aber nicht, dass der fehler dort selbst liegt.

lg michi


[1] http://www.heise.de/security/artikel/43066/1

Hallo,

gleich vorweg. Ich studiere zwar was ähnliches aber nicht Informatik.
Seit neuesten bekomme ich auch eines ähnlichen Bluescreen auf meinem Laptop. Allerdings nur mit schönen Zahlen und keinen Hinweis auf die afd.sys. Inzwischen tritt er immer direkt nach der Anmeldung auf.

Für den Anfang habe ich bereits einmal in die Ereignisanzeige geschaut.
Bei System resultiert aus folgende Quellen Fehler: Service Control Manager, DCOM.
Bei Anwendungen stehen Fehler bei VSS, EventSystem und manchmal True Vektor Engine.

Reicht das schon? Kann mir jemand Hinweise geben, wie ich meinen Laptop wieder einsatzfähig mache.

Gruß aus Germaby,
Florian

hallo!

Zitat von feberl

Seit neuesten bekomme ich auch eines ähnlichen Bluescreen auf meinem Laptop. Allerdings nur mit schönen Zahlen und keinen Hinweis auf die afd.sys. [...] Bei System resultiert aus folgende Quellen Fehler: Service Control Manager, DCOM. [...] Bei Anwendungen stehen Fehler bei VSS, EventSystem und manchmal True Vektor Engine.

das ist leider zu ungenau.. so gesehen könnte es fast alles sein... folgende fragen wären u. a. interessant:

• seit wann tritt der fehler auf
• hast du etwas geändert/installiert/entfernt
• details zur meldung falls du noch welche weißt
• welche fehler stehen genau im eventlog
• alles was du sonst noch weißt...

hast du schon probiert, im abgesicherten modus zu starten?

lg michi