您有驱动程序引起的内存泄漏。查看非分页内核内存的高价值。您的情况是3.7 GB以上。您可以使用poolmon查看哪个驱动程序导致了高使用率。
安装Windows WDK,运行poolmon,通过P在pool type之后对它进行排序,以便非分页位于顶部,并B在afterbytes 之后,以查看使用最多内存的标记。通过转到WDK的安装文件夹来运行poolmon,转到“工具”(或C:\Program Files (x86)\Windows Kits\10\Tools\x64
),然后单击poolmon.exe
。
现在查看哪个pooltag使用最多的内存,如下所示:
现在打开一个cmd提示符并运行findstr命令。为此,请打开cmd提示符,然后键入cd C:\Windows\System32\drivers
。然后键入findstr /s __ *.*
,其中__是标记(poolmon中最左边的名称)。这样做看哪个驱动程序使用此标记:
现在,转到驱动程序文件夹(C:\Windows\System32\drivers
),然后右键单击有问题的驱动程序(上图示例中的intmsd.sys)。单击属性,转到详细信息选项卡以找到产品名称。寻找该产品的更新。
如果pooltag仅显示Windows驱动程序或在pooltag.txt("C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\triage\pooltag.txt"
)中列出
您已经使用xperf来跟踪导致使用的原因。从Windows SDK安装WPT,以管理员身份打开cmd.exe并运行以下命令:
xperf-在PROC_THREAD + LOADER + POOL -stackwalk PoolAlloc + PoolFree + PoolAllocSession + PoolFreeSession -BufferSize 2048 -MaxFile 1024 -FileMode循环&&超时-1 && xperf -d C:\ pool.etl
捕获30 -60秒的生长时间。使用WPA.exe打开ETL,将“池”图添加到分析窗格中。
将pooltag列放在第一位,然后添加stack列。现在,将符号加载到 WPA.exe中,并扩展您在poolmon中看到的标签的堆栈。
现在,您可以在堆栈中找到其他第三方驱动程序。此处,Thre
标签(Thread)由G-Data的AVKCl.exe使用。寻找驱动程序/程序更新以对其进行修复。
用户Hristo HristovFMfn
在解压缩文件时提供了使用率很高的跟踪:
该标签由驱动程序使用,该驱动程序WiseFs64.sys
是“ Wise Folder Hider”程序的一部分。移除它可以修复泄漏。
用户萨穆伊尔Dichev提供跟踪高FMic
和Irp
使用
标签由程序Razor Cortex使用。
在用户的样本chr0n0ss的FMic
和Irp
使用量是由F-Secure的防病毒套件引起的:
删除它并使用Windows Defender为他解决了该问题。