msvcrt.dll

День добрый!
Помогите разобраться ламеру
Винда 2003
Иса сервер
Контроллер домена
Нод32

В совершенно рандомное время раза 2-3 в сутки выдает Application error:
Faulting application svchost.exe, version 5.2.3790.0, faulting module msvcrt.dll, version 7.0.3790.0, fault address 0x00034d33.
После чего отрубаюца сетевые принтеры, шары сервака.
На вирусы проверялсо - нифига нету.
ps если не в тот раздел написал - сорри.

[KomatoZo]

Так... насколько я понимаю, Event ID 1000???
Если так, то посмотрите, работает ли после этого служба computer browser?

KomatoZo
Спасибо
Служба останавливается. Можно конечно поставить ее restore,
но не подскажите в чем суть проблемы?

[KomatoZo]

Не. Сегодня не скажу. Трудный был день - завтра покопаюсь. Или может еще кто подскажет. А вот в рестор ее обязательно надо. Насколько я понял по одному из форумов - помогает. Впрочем, трудно все-таки читать то ли по-чешски, то ди по-польски, не знаю ни того ни другого =0)

[gluon]

Установлен ли
http://www.microsoft.com/technet/security/Bulletin/MS06-040.mspx ?

[KomatoZo]

gluon
Объясните, причем тут данная уязвимость? Она может дать remote code execution. Но я не увидел, чтобы она вызывала падение службы.
BRaven
Пока ничего конкретного. Но, по личным наблюдениям, проявляется у людей, у которых стоит антивирус на серваке. Возможно неудачный билд или еще какая-нибудь уязвимость. Но это так: ОБС. Я пока еще поищу, а Вы, если есть возможность, снесите антивирус и посмотрите, будет ли проявляться впредь. Шаманство, конечно же, но надо же Вас чем-то занять ;)

UPD:
Терминал на нем не поднят?

[gluon]

KomatoZo:
Объясните, причем тут данная уязвимость? Она может дать remote code execution. Но я не увидел, чтобы она вызывала падение службы.

… да я, собственно, не фонтан в этом вопросе, но разве не может какой-нибудь червь использовать подобный баг, ну например, с портами 135, 137, 445, чтобы вызвать аварийное завершение, опять же только к примеру, svchost ?

[KomatoZo]

gluon
Теоретически возможно. Но на практике такое возможно только если червь плохо написан и по этой причине просто валится сам и тащит за собой сервис. Обеспечить DoS можно более тонко, а вообще если есть возможность удаленного исполнения кода, то остановка сервиса это глупость и мелочь, по сравнению с тем, что реально можно сделать.
Впрочем, здравое зерно было обнаружено, посему на всякий случай спрошу еще:
1) есть ли какой-нибудь файрволл?
2) как обстоит дело вообще на сервере с обновлениями? По крайней мере SP1 есть?

KomatoZo
из антивирей только нод32, но к нему претензий нет. он на компе появился после появления багов.
а у меня подозрения на 1С ибо тот кто у меня этим занимался что то там шаманил за дня 2 до появления.
стоит фаервол от иса сервера
qulon
не стоит. скачал.

[KomatoZo]

BRaven
Ммм... Про 1С хотелось бы поподробнее. Что именно он там шаманил. У меня пока нет ответа на Ваш вопрос, так что подожду еще немного, вдруг кто поможет и после этого попробую взяться за проблему всерьез. Только Ва тогда придется предоставить мне массу информации.

KomatoZo
он шаманил - копался в бд чего-то исправлял. копался долго а потом зачем то что то начальнику показывал. зря в общем. потому что на следующий день ему опять пришлось все настраивать ибо у начальника шаловливые ручки.
впрочем сейчас меня эта проблема интересует чисто из повышения образованности ибо вылетает теперь 1С иногда, думаю (даже не проверял - лень) вылетает в тот момент когда служба рестартится.
А 1С весь полностью висит на моем коллеге - пусть мучается ибо нефиг просвещать того кого не надо.

[KomatoZo]

BRaven
Ну если 1С на BDF ВИСИТ, то вполне может. Хотя в 1С я уже совсем не гуру =)
Ок. Если что появится - свитите - попробуем доразбираться.

KomatoZo
Что есть BDF?
А служба как оказалось после рестора примерно через минуту опять падает
открыл лог и офигел от кол-ва ерроров.

[KomatoZo]

Ну она на SQL у Вас работает или как?
Я с пятницы в отпуске, поэтому начинать расследованием с применением поддержки MS смысла не вижу. Придется Вам или своими силами решить или дождаться пока здесь кто-нибудь посоветует что-либо. Ну или я выйду через пару недель, тогда и MS за патч-корд дернем =)

угу, SQL.

Блин. Ну вот. 1С на меня повесили как на крайнего
Проблема в силе

[KomatoZo]

Ок, я как раз вышел из отпуска. Завтра начнем-с... =)

[Dr.God]

msvcrt.dll - это модуль, содержащий базовые фичи, которые используются многими программами. Соответственно, неверное обращение через него может быть причиной ошибки. Такие вещи хорошо мониторить утилитой Filemon. Есть шанс обнаружить тёмную лошадку в момент падения сервиса. Если мониторинг обращений к файлам не помог, можно попробовать отследить запрос на остановку сервиса через реестр. Юзаем Regmon.

SP есть?