Masz przeciek pamięci spowodowany przez kierowcę. Spójrz na wysoką wartość pamięci jądra bezstronicowego. W twoim przypadku jest to ponad 3,7 GB. Możesz użyć poolmon aby zobaczyć który sterownik powoduje wysokie zużycie.
Zainstaluj Windows WDK , uruchom poolmon, posortuj go przez P po typie puli tak aby nie stronicowany był na górze i przez B po bajtach aby zobaczyć tag który wykorzystuje większość pamięci. Uruchom poolmon, przejdź do folderu, w którym zainstalowany jest WDK, przejdź do Tools (lub C:\Program Files (x86)\Windows Kits0\Tools\x64
) i kliknij poolmon.exe
.
Sprawdź teraz, który pooltag wykorzystuje większość pamięci, jak pokazano tutaj:
Otwórz teraz znak zachęty cmd i uruchom komendę findstr. Aby to zrobić, otwórz znak zachęty cmd i wpisz cd C:\Windows\System32\drivers
. Następnie wpisz findstr /s __ *.*
, gdzie ___ jest znacznikiem (lewa nazwa w języku poolmon). Zrób to, aby zobaczyć, który sterownik używa tego tagu:
Teraz przejdź do folderu drivers (C:\Windows\System32\drivers
) i kliknij prawym przyciskiem myszy na dany sterownik (intmsd.sys w powyższym przykładzie). Kliknij na Właściwości, przejdź do zakładki Szczegóły, aby znaleźć nazwę produktu. Poszukaj aktualizacji dla tego produktu.
Jeśli na liście pooltag.txt ("C:\Program Files (x86)\Windows Kits0\Debuggers\x64\triage\pooltag.txt"
)
znajdują się tylko sterowniki dla systemu Windows, użyj xperf do śledzenia przyczyn użytkowania . Zainstaluj WPT z Windows SDK , otwórz cmd. exe as admin i uruchom to:
xperf -on PROC_THREAD+LOADER+POOL -stackwalk PoolAlloc+PoolFree+PoolAllocSession+PoolFreeSession -BufferSize 2048 -MaxFile 1024 -FileMode Circular && timeout -1 && xperf -d C:\pool.etl
przechwytuj 30 -60s wzrostu. Otwórz ETL z WPA.exe, dodaj wykresy pooltagów do panelu analizy.
Umieść kolumnę pooltagów na pierwszym miejscu i dodaj kolumnę stosu. Teraz załaduj symbole wewnątrz WPA.exe i rozszerz stos tagów, które widziałeś w poolmon.
Znajdź teraz inne sterowniki innych firm, które możesz zobaczyć w stosie. Tutaj tag Thre
(Thread) jest używany przez AVKCl.exe z G-Data. Poszukaj aktualizacji sterownika/programu, aby to naprawić.
Użytkownik Hristo Hristov dostarczył ślad z wysokim FMfn
użyciem podczas rozpakowywania plików:
Znacznik jest używany przez sterownik WiseFs64.sys
, który jest częścią programu “Wise Folder Hider”. Usunięcie go naprawia wyciek.
Użytkownik Samuil Dichev dostarczył ślad z wysokim FMic
i Irp
użycie
Tagi są używane przez program Razor Cortex .
W próbce użytkownika chr0n0ss użycie FMic
i Irp
jest spowodowane przez program F-Secure Antivirus Suite:
Usunięcie go i użycie programu Windows Defender naprawiło problem.