版块 › 安全卫士 › WIN7装了360安全卫士蓝屏代码 X000000A

360fans_42967605 发表于 2026-10-30 16:04

WIN7装了360安全卫士蓝屏代码 X000000A

附蓝屏.DMP文件

leo0205 发表于 2026-10-30 18:24

当前分析的原因如下，您可以卸载安全卫士测试看看，从蓝屏dump看，没有看出来和安全卫士有什么关系

丘比特的萌笑 发表于 2026-10-30 18:41

蓝屏代码 ‌0x0000000A‌ 的正式名称是 ‌IRQL_NOT_LESS_OR_EQUAL‌。
简单来说，它的核心含义是：‌某个驱动程序或系统内核在“高优先级”状态下，试图访问它没有权限访问的内存地址，或者访问了无效的内存位置。‌ Windows 为了防止数据进一步损坏或系统崩溃，强制停止了运行并显示蓝屏。
你可以将其通俗地理解为：‌一个程序“越级”抢占了资源，或者去读了不该读的“禁区”，系统为了保护安全直接“拉闸断电”。
可能性：（个人思路，仅供参考）
1、是否选错了不适用的驱动程序？驱动程序必须用有数字签名的（Driver Signature）
2、是否装完系统后，又更换了哪个硬件？拔掉内存用橡皮檫下金手指，拔掉显卡用橡皮檫下金手指
3、排除有软件冲突。先卸载安全卫士，跑跑测试软件，看看还是否有蓝屏现象。

360fans_22602395 发表于 2026-11-4 09:51

【目标系统】 Windows 7.1.7601.24384

【蓝屏代码】 a
【系统版本】 7.1.7601.24384
【崩溃进程】 360EntMsgCente
【崩溃模块】 afd.sys
【故障模块】 afd
【崩溃位置】 afd!AFDETW_TRACEDATAADDR_CORE+2b6
【故障分类】 0xA_afd!AFDETW_TRACEDATAADDR_CORE

【调试参数】
【参数1】 4
【参数2】 2
【参数4】 fffff80004ee7cb3



根据你提供的蓝屏信息，核心问题是 afd.sys 驱动在过高的 IRQL 等级下访问了无效内存，而崩溃发生时正在运行的进程是 360 企业安全云的相关组件。这通常指向驱动程序冲突或第三方安全软件的网络过滤驱动存在缺陷。

关键参数解读
蓝屏代码 0xA：IRQL_NOT_LESS_OR_EQUAL。意味着内核模式驱动在错误的中断请求级别访问了内存。

参数2 (IRQL = 2)：表示故障发生时，IRQL 处于 DISPATCH_LEVEL。在这个级别，代码不能访问可分页内存，也不能等待某些对象，否则极易崩溃。

崩溃进程 360EntMsgCente：这是 360 企业安全云的消息中心组件。结合过往案例，360 的安全驱动（如 360AntiHacker64.sys）曾被发现与 afd.sys 蓝屏有关联。

排查与解决步骤
由于这是 Windows 7 系统，且涉及企业安全软件，建议按以下顺序操作：

首要排查：处理 360 企业安全云
这是最可能的原因。afd.sys 是微软自带的网络套接字驱动，它本身通常没问题，往往是其他软件（如安全软件的防火墙或网络监控模块）的驱动与它交互时出错。

临时卸载或禁用：如果条件允许，尝试暂时卸载 360 企业安全云客户端，重启后观察是否还会蓝屏。如果卸载需要管理员密码，请联系你所在单位的 IT 管理员协助处理。

更新软件：如果必须保留，请检查 360 企业安全云是否有更新版本，安装最新版可能修复了已知的驱动兼容性问题。

检查网络驱动
afd.sys 处理的是网络相关的 I/O 请求。过旧或损坏的网卡驱动也可能引发此类错误。

前往电脑或主板品牌官网，下载适用于 Windows 7 的网卡驱动（有线与无线），手动覆盖安装。不要使用第三方驱动软件自动更新。

修复系统组件
排除系统文件损坏的可能性。以管理员身份运行“命令提示符”，依次执行：

sfc /scannow

DISM /Online /Cleanup-Image /RestoreHealth（注：Win7 对 DISM 命令支持有限，若报错可跳过，仅执行 sfc）

执行干净启动（用于诊断）
如果上述操作无效，可通过 msconfig 禁用所有非微软服务与启动项，以判断是否为其他后台软件冲突。但鉴于崩溃进程明确指向 360 组件，此步骤的优先级低于第 1 步

360fans_22602395 发表于 2026-11-4 09:55

【目标系统】 Windows 7.1.7601.24384

【蓝屏代码】 a
【系统版本】 7.1.7601.24384
【崩溃进程】 360EntMsgCente
【崩溃模块】 afd.sys
【故障模块】 afd
【崩溃位置】 afd!AFDETW_TRACEDATAADDR_CORE+2b6
【故障分类】 0xA_afd!AFDETW_TRACEDATAADDR_CORE

【调试参数】
【参数1】 4
【参数2】 2
【参数4】 fffff80004ee7cb3



根据你提供的完整 WinDbg 分析日志，蓝屏的根本原因非常明确：360 企业安全云的网络过滤驱动在过高的 IRQL 等级下，向 Windows 内置的网络驱动 afd.sys 传递了无效的内存地址，导致 afd.sys 在记录 ETW 日志时访问了非法内存并崩溃。

结合堆栈信息，afd.sys 本身是“受害者”。它在正常执行接收数据报（AfdSetupReceiveDatagramIrp）并尝试写入 ETW 追踪日志（EtwWrite）时，memmove 试图从地址 0x0000000000000004 读取数据，这是一个典型的空指针/无效指针偏移访问。由于崩溃进程是 360EntMsgCente，且过往案例中 360 安全软件驱动（如 360AntiHacker64.sys）多次被证实会引发 afd.sys 相关的 0xA 蓝屏，因此问题极大概率出在 360 的驱动侧。

针对性解决步骤
优先处理 360 企业安全云（核心操作）

彻底卸载并观察：这是最有效的验证方法。请完全卸载 360 企业安全云客户端，重启电脑。如果卸载需要管理员权限，请联系单位的 IT 管理员。若卸载后蓝屏消失，即可确认是 360 驱动兼容性问题。

若必须保留：联系 360 企业安全的技术支持，反馈 afd.sys 蓝屏问题（附上此 dump 分析），询问是否有更新版本的客户端或专门的补丁。旧版驱动在 Windows 7 上存在此类缺陷的可能性较高。

更新网卡驱动（辅助排查）
虽然堆栈指向 360，但 afd.sys 处理的是网络 I/O。为了排除底层硬件驱动的干扰，建议前往电脑或主板制造商官网，下载适用于 Windows 7 64位 的有线网卡和无线网卡驱动，手动覆盖安装。请勿使用第三方驱动软件自动更新，因为那些软件可能安装不兼容的版本。

修复系统文件（基础保障）
以管理员身份运行“命令提示符”，执行 sfc /scannow 扫描并修复可能受损的 Windows 系统文件。虽然这通常不是此类第三方驱动冲突的主因，但可以作为排除系统环境异常的必要步骤。

检查内存完整性（可选）
由于故障地址 0x4 是非常低位的地址，虽然极大概率是软件指针错误，但作为最后的硬件排查手段，可以在管理员命令提示符下运行 mdsched.exe 执行 Windows 内存诊断，排除内存条物理故障导致的数据损坏。

总结：你的调试日志已经锁定了问题方向。afd.sys 的崩溃是由 360 相关组件在 DISPATCH_LEVEL（IRQL 2）引发的。卸载或更新 360 企业安全云是当前最直接、最可能解决问题的方案。

360fans_22602395 发表于 2026-11-4 09:56

根据你提供的完整 WinDbg 分析日志，蓝屏的根本原因非常明确：360 企业安全云的网络过滤驱动在过高的 IRQL 等级下，向 Windows 内置的网络驱动 afd.sys 传递了无效的内存地址，导致 afd.sys 在记录 ETW 日志时访问了非法内存并崩溃。

结合堆栈信息，afd.sys 本身是“受害者”。它在正常执行接收数据报（AfdSetupReceiveDatagramIrp）并尝试写入 ETW 追踪日志（EtwWrite）时，memmove 试图从地址 0x0000000000000004 读取数据，这是一个典型的空指针/无效指针偏移访问。由于崩溃进程是 360EntMsgCente，且过往案例中 360 安全软件驱动（如 360AntiHacker64.sys）多次被证实会引发 afd.sys 相关的 0xA 蓝屏，因此问题极大概率出在 360 的驱动侧。

针对性解决步骤
优先处理 360 企业安全云（核心操作）

彻底卸载并观察：这是最有效的验证方法。请完全卸载 360 企业安全云客户端，重启电脑。如果卸载需要管理员权限，请联系单位的 IT 管理员。若卸载后蓝屏消失，即可确认是 360 驱动兼容性问题。

若必须保留：联系 360 企业安全的技术支持，反馈 afd.sys 蓝屏问题（附上此 dump 分析），询问是否有更新版本的客户端或专门的补丁。旧版驱动在 Windows 7 上存在此类缺陷的可能性较高。

更新网卡驱动（辅助排查）
虽然堆栈指向 360，但 afd.sys 处理的是网络 I/O。为了排除底层硬件驱动的干扰，建议前往电脑或主板制造商官网，下载适用于 Windows 7 64位 的有线网卡和无线网卡驱动，手动覆盖安装。请勿使用第三方驱动软件自动更新，因为那些软件可能安装不兼容的版本。

修复系统文件（基础保障）
以管理员身份运行“命令提示符”，执行 sfc /scannow 扫描并修复可能受损的 Windows 系统文件。虽然这通常不是此类第三方驱动冲突的主因，但可以作为排除系统环境异常的必要步骤。

检查内存完整性（可选）
由于故障地址 0x4 是非常低位的地址，虽然极大概率是软件指针错误，但作为最后的硬件排查手段，可以在管理员命令提示符下运行 mdsched.exe 执行 Windows 内存诊断，排除内存条物理故障导致的数据损坏。

总结：你的调试日志已经锁定了问题方向。afd.sys 的崩溃是由 360 相关组件在 DISPATCH_LEVEL（IRQL 2）引发的。卸载或更新 360 企业安全云是当前最直接、最可能解决问题的方案。

*******************************************************************************
*                                                                           *
*      MCP Server Bridge Attached (enabled , not running, not connected)      *
*                                                                           *
*******************************************************************************


************* Preparing the environment for Debugger Extensions Gallery repositories **************
   ExtensionRepository : Implicit
   UseExperimentalFeatureForNugetShare : true
   AllowNugetExeUpdate : true
   NonInteractiveNuget : true
   AllowNugetMSCredentialProviderInstall : true
   AllowParallelInitializationOfLocalRepositories : true

   -- Configuring repositories
      ----> Repository : LocalInstalled, Enabled: true
      ----> Repository : UserExtensions, Enabled: true

>>>>>>>>>>>>> Preparing the environment for Debugger Extensions Gallery repositories completed, duration 0.016 seconds

************* Waiting for Debugger Extensions Gallery to Initialize **************

>>>>>>>>>>>>> Waiting for Debugger Extensions Gallery to Initialize completed, duration 0.031 seconds
   ----> Repository : UserExtensions, Enabled: true, Packages count: 0
   ----> Repository : LocalInstalled, Enabled: true, Packages count: 46

Microsoft (R) Windows Debugger Version 10.0.29661.1004 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: srv*
Executable search path is:
Windows 7 Kernel Version 7601 (Service Pack 1) MP (8 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Edition build lab: 7601.24384.amd64fre.win7sp1_ldr_escrow.190220-1800
Kernel base = 0xfffff800`04e66000 PsLoadedModuleList = 0xfffff800`0509fc90
Debug session time: Fri Oct 30 14:22:55.133 2026 (UTC + 8:00)
System Uptime: 0 days 5:56:28.265
Loading Kernel Symbols
.

Press ctrl-c (cdb, kd, ntsd) or ctrl-break (windbg) to abort symbol loads that take too long.
Run !sym noisy before .reload to track down problems loading symbols.

..............................................................
................................................................
..................................
Loading User Symbols
PEB is paged out (Peb.Ldr = 00000000`7efdf018).Type ".hh dbgerr001" for details
Loading unloaded module list
........
ReadVirtual() failed in GetXStateConfiguration() first read attempt (error == 0.)
For analysis of this file, run !analyze -v
nt!KeBugCheckEx:
fffff800`04ef9ba0 48894c2408      mov   qword ptr ,rcx ss:0018:fffff800`00ba02a0=000000000000000a
0: kd> !analyze -v
Loading Kernel Symbols
...............................................................
................................................................
..................................
Loading User Symbols
PEB is paged out (Peb.Ldr = 00000000`7efdf018).Type ".hh dbgerr001" for details
Loading unloaded module list
........
*******************************************************************************
*                                                                           *
*                        Bugcheck Analysis                                    *
*                                                                           *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: 0000000000000004, memory referenced
Arg2: 0000000000000002, IRQL
Arg3: 0000000000000000, bitfield :
        bit 0 : value 0 = read operation, 1 = write operation
        bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: fffff80004ee7cb3, address which referenced memory

Debugging Details:
------------------


KEY_VALUES_STRING: 1

    Key: Analysis.CPU.mSec
    Value: 1015

    Key: Analysis.Elapsed.mSec
    Value: 60649

    Key: Analysis.IO.Other.Mb
    Value: 6

    Key: Analysis.IO.Read.Mb
    Value: 1

    Key: Analysis.IO.Write.Mb
    Value: 10

    Key: Analysis.Init.CPU.mSec
    Value: 1078

    Key: Analysis.Init.Elapsed.mSec
    Value: 230692

    Key: Analysis.Memory.CommitPeak.Mb
    Value: 64

    Key: Analysis.Version.DbgEng
    Value: 10.0.29661.1004

    Key: Analysis.Version.Description
    Value: 10.2608.26.1 amd64fre

    Key: Analysis.Version.Ext
    Value: 1.2608.26.1

    Key: Bugcheck.Code.LegacyAPI
    Value: 0xa

    Key: Bugcheck.Code.TargetModel
    Value: 0xa

    Key: Failure.Bucket
    Value: 0xA_afd!AFDETW_TRACEDATAADDR_CORE

    Key: Failure.Exception.IP.Address
    Value: 0xfffff80004ee7cb3

    Key: Failure.Exception.IP.Module
    Value: nt

    Key: Failure.Exception.IP.Offset
    Value: 0x81cb3

    Key: Failure.Hash
    Value: {38de0b54-be6f-3806-fa67-3fd9f58d45e0}

    Key: Faulting.IP.Type
    Value: Paged

    Key: Hypervisor.Flags.Value
    Value: 0

    Key: Hypervisor.Flags.ValueHex
    Value: 0x0

    Key: Stack.Pointer
    Value: NMI

    Key: WER.OS.Branch
    Value: win7sp1_ldr_escrow

    Key: WER.OS.Version
    Value: 7.1.7601.24384

    Key: WER.System.BIOSRevision
    Value: 5.17.0.0


BUGCHECK_CODE:a

BUGCHECK_P1: 4

BUGCHECK_P2: 2

BUGCHECK_P3: 0

BUGCHECK_P4: fffff80004ee7cb3

FILE_IN_CAB:103026-7363-01.dmp

FAULTING_THREAD:fffffa80160afb50

READ_ADDRESS: Target machine operating system not supported
0000000000000004

CUSTOMER_CRASH_COUNT:1

PROCESS_NAME:360EntMsgCente

DPC_STACK_BASE:FFFFF80000BA2FB0

IP_IN_PAGED_CODE:
nt!memmove+223
fffff800`04ee7cb3 8a040a          mov   al,byte ptr

STACK_TEXT:
fffff800`00ba0298 fffff800`04f07f69   : 00000000`0000000a 00000000`00000004 00000000`00000002 00000000`00000000 : nt!KeBugCheckEx
fffff800`00ba02a0 fffff800`04f05d88   : 00000000`00000000 00000000`00000004 00000000`00000000 00000000`00000014 : nt!KiBugCheckDispatch+0x69
fffff800`00ba03e0 fffff800`04ee7cb3   : fffff800`04fb8dae 00000000`00010000 00000000`00000014 00000000`00000001 : nt!KiPageFault+0x448
fffff800`00ba0578 fffff800`04fb8dae   : 00000000`00010000 00000000`00000014 00000000`00000001 fffff800`00ba0c60 : nt!memmove+0x223
fffff800`00ba0580 fffff800`04fb9571   : fffffa80`084c4a90 00000000`00000000 fffffa80`084c4a10 00000000`00000000 : nt!EtwpEventWriteFull+0xa8e
fffff800`00ba0e30 fffff800`04fb96b8   : 00000000`00000000 00000000`0000c801 00000000`00000000 00000000`00000000 : nt!EtwWriteEx+0x121
fffff800`00ba0ef0 fffff880`01410786   : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!EtwWrite+0x28
fffff800`00ba0f40 fffff880`0140bfcf   : 00000000`00000001 00000000`00000001 fffffa80`076e1560 00000000`00000bff : afd!AFDETW_TRACEDATAADDR_CORE+0x2b6
fffff800`00ba10f0 fffff880`01453db1   : fffffa80`160b008b 00000000`00000001 00000000`00000002 00000000`00000000 : afd!AFDETW_TRACERECVDATAGRAM+0x96df
fffff800`00ba11e0 00000000`00000000   : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : afd!AfdSetupReceiveDatagramIrp+0x161


SYMBOL_NAME:afd!AFDETW_TRACEDATAADDR_CORE+2b6

MODULE_NAME: afd

IMAGE_NAME:afd.sys

IMAGE_VERSION:6.1.7601.17514

STACK_COMMAND: .process /r /p 0xfffffa80160562f0; .thread /r /p 0xfffffa80160afb50 ; kb

BUCKET_ID_FUNC_OFFSET:2b6

FAILURE_BUCKET_ID:0xA_afd!AFDETW_TRACEDATAADDR_CORE

OS_VERSION:7.1.7601.24384

BUILDLAB_STR:win7sp1_ldr_escrow

OSPLATFORM_TYPE:x64

OSNAME:Windows 7

FAILURE_ID_HASH:{38de0b54-be6f-3806-fa67-3fd9f58d45e0}

Followup:   MachineOwner
---------

0: kd> .process /r /p 0xfffffa80160562f0; .thread /r /p 0xfffffa80160afb50 ; kb
Implicit process is now fffffa80`160562f0
Loading User Symbols
PEB is paged out (Peb.Ldr = 00000000`7efdf018).Type ".hh dbgerr001" for details
Implicit thread is now fffffa80`160afb50
Implicit process is now fffffa80`160562f0
Loading User Symbols
PEB is paged out (Peb.Ldr = 00000000`7efdf018).Type ".hh dbgerr001" for details
*** Stack trace for last set context - .thread/.cxr resets it
# RetAddr               : Args to Child                                                         : Call Site
00 fffff800`04f07f69   : 00000000`0000000a 00000000`00000004 00000000`00000002 00000000`00000000 : nt!KeBugCheckEx
01 fffff800`04f05d88   : 00000000`00000000 00000000`00000004 00000000`00000000 00000000`00000014 : nt!KiBugCheckDispatch+0x69
02 fffff800`04ee7cb3   : fffff800`04fb8dae 00000000`00010000 00000000`00000014 00000000`00000001 : nt!KiPageFault+0x448
03 fffff800`04fb8dae   : 00000000`00010000 00000000`00000014 00000000`00000001 fffff800`00ba0c60 : nt!memmove+0x223
04 fffff800`04fb9571   : fffffa80`084c4a90 00000000`00000000 fffffa80`084c4a10 00000000`00000000 : nt!EtwpEventWriteFull+0xa8e
05 fffff800`04fb96b8   : 00000000`00000000 00000000`0000c801 00000000`00000000 00000000`00000000 : nt!EtwWriteEx+0x121
06 fffff880`01410786   : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!EtwWrite+0x28
07 fffff880`0140bfcf   : 00000000`00000001 00000000`00000001 fffffa80`076e1560 00000000`00000bff : afd!AFDETW_TRACEDATAADDR_CORE+0x2b6
08 fffff880`01453db1   : fffffa80`160b008b 00000000`00000001 00000000`00000002 00000000`00000000 : afd!AFDETW_TRACERECVDATAGRAM+0x96df
09 00000000`00000000   : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : afd!AfdSetupReceiveDatagramIrp+0x161

查看完整版本: WIN7装了360安全卫士蓝屏代码 X000000A