手握利器，直面“蓝脸”

三、怎样给出“蓝脸”？

当系统检测到引发崩溃的致命错误时，Windows自己执行崩溃函数“KeBugCheckEx”。该函数接受一个停止代码(STOP Code，也称为错误检查码“Bug Check Code”），以及四个根据停止代码来解释的参数(下文中会有图例)。在调用KeBugCheckEx之后，首先该系统所有处理器上的所有中断将被屏蔽，然后系统将显示器切换到低分辨率的VGA图形模式（因为这是所有Windows平台显卡均支持的通用模式），绘制一个蓝色背景，然后显示此停止代码，并且后面紧跟一些对用户诊断错误有帮助的关键信息。最后，KeBugCheckEx调用所有已注册的设备驱动程序错误检查回调函数(这种回调函数通过调用KeRegisterBugCheckCallback函数来注册)，从而让这些驱动程序停止运行它们所支配的设备(有系统数据结构已经被破坏得太严重以至于蓝屏都显示不出来的可能性）。

以下情况会引发系统蓝屏崩溃：

1、运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未被处理的异常，比如内存访问违例（由于企图写一个只读页面或者企图读一个当前未被映射的内存地址(即无效地址)而引起）。

 2、调用一个内核支持例程导致了重新调度，比如当中断请求级别(IRQL)为DPC/Dispatch级别或更高级别时等待一个标记为需要等待的调度对象。

 3、在DPC/Dispatch级别或更高的IRQL级别时由于数据存在于页面文件或内存映射文件中而发生了页面错误(Page Fault)。（这将要求内存管理器必须等待一个I/O操作发生。但正如上面一项所说，在DPC/Dispatch级别或更高IRQL级别上不能够进行等待，因为那将要求一次重新调度）。

 4、当检测到一个内部状态表明数据已遭受破坏或者在保证数据不被破坏的情况下系统无法继续执行时，设备驱动程序或操作系统函数明确地要求系统崩溃（通过调用系统函数KeBugCheckEx）。