クラッシュダンプは、順次命令間でレジスタ値が変更されたことを意味します

Question

現在、BSODに起因するクラッシュダンプを顧客から分析しています。私は機密保持の理由からクラッシュダンプを提供することはできませんが、私はちょっと行き詰まってしまいました。

DDK内のRtlSetBit関数でクラッシュが発生します。ここでは、コンテキストのレコードがあります：

rax=0000000000000000 rbx=fffff8800282da00 rcx=fffffa8007c10340 
rdx=0000000000000000 rsi=0000000000000001 rdi=fffffa8007c102e0 
rip=fffff8000168d0b4 rsp=fffff880057478e8 rbp=0000000000000000 
r8=0000000000000000 r9=0000000000000000 r10=fffff88001e5dca0 
r11=0000000000000000 r12=0000000000000000 r13=fffffa800812feb0 
r14=0000000000000001 r15=fffff88003490af0 
iopl=0   nv up ei pl zr na po nc 
cs=0010 ss=0018 ds=002b es=002b fs=0053 gs=002b    efl=00010246 
nt!RtlSetBit+0x4: 
fffff800`0168d0b4 0fab10   bts  dword ptr [rax],edx ds:002b:00000000`00000000=???????? 

ここでアセンブリがRtlSetBitのためです：

fffff800`0168d0b0 488b4108  mov  rax,qword ptr [rcx+8] 
fffff800`0168d0b4 0fab10   bts  dword ptr [rax],edx << Exception 
fffff800`0168d0b7 c3    ret 

何奇妙だが、あなたが見ることができるように、raxがrcx+8の内容が含まれていない、ということである：

2: kd> dq rcx+8 
fffffa80`07c10348 fffffa80`07c10338 0000000b`00000014 

代わりに、raxにはnullが表示されます。

これはどのように可能ですか？何か不足していますか？

Answer 1

mov rax, qword ptr [rcx+8]が実行されたときの値はおそらく0でした。 btsを実行する前に、別のスレッドがメモリ内の値を変更しました。その後、btsでクラッシュし、メモリを見ると、元の0ではなく、更新された値が表示されます。

Answer 2

前の命令は、移動が実行されたとします。しかし、それがアセンブラの前にあるからといって、必ずしも前に実行されているわけではありません。 btsにまっすぐジャンプすると、そのような誤動作につながる可能性があります。

このジャンプの理由は、間違ったコード（手書き/最適化アセンブラを持っているかどうかわからない）、スタック/バッファ/配列のオーバーフロー、スタック上の戻りアドレスを変更してbtsを返すアドレスなど、あまり知られていないバグがあります。