Rastreando um vazamento de memória

Question

Eu anteriormente fiz uma pergunta sobre um servidor que teve uma utilização de memória de pool não paginado muito alta e alguém explicou como usar o poolmon para rastrear o driver de problema.

Eu fiz isso, mas não tenho certeza se identifiquei o problema.

Executando o poolmon:

Agorapesquisandoporfwpx,eusótenhoum"match":

dsac.exe?OcentroadministrativodoADestácausandoovazamentodememória?-queobviamentenãopodeestarcerto,masessefoioúnicomatchfindstrencontrado.

Pesquisandonatagpooldofwpx,vejoalgunsproblemasqueaspessoastinhamcomoprodutoantivírusdaMcAfee(masoSymantecSEPestáinstaladonesteservidor).

Deacordocom este blog da Technet A tag pool do fwpx é relacionada a este driver: Fwpx - fwpkclnt.sys - WFP NBL marcou o contexto

Mas se esse é o caso, por que a findstr não conseguiu localizá-lo?

Então eu pesquisei mais e encontrei este kb: link

De acordo com o kb, a API FwpsAllocateCloneNetBufferlist () vaza memória - impressionante.

Mas ainda não estou 100%, esta é a questão. Antes de instalar o hot-fix, como posso confirmar que esse problema é causado por esse bug da WFP? Eu diria que seu SEP está usando a API do WFP com bugs. Isso faz sentido porque vi usuários da McAfee (outro produto antivírus que pode estar usando a API) tendo problemas semelhantes de vazamento de memória.

Mas, para ter certeza, como posso identificar o programa que está chamando a API do WFP? se é isso que realmente está acontecendo.

    

Answer 1

Não houve tempo para seguir o que magicandre1981 sugeriu, mas conseguiu confirmar que o patch resolveu a questão. Talvez isso seja útil para outras pessoas que tenham um problema de vazamento de memória semelhante.

Outra coisa que notamos: executar uma atualização completa do Windows parece incluir essa correção, mas em algum outro patch. Depois de executarmos uma atualização completa do Windows em outro servidor com esse problema (em vez de aplicar o patch específico), o patch não seria instalado lançando uma espécie de erro "esse patch não se aplica a essa plataforma". Acontece que esse problema foi resolvido em alguma outra atualização.

Então, acho que aplicar o patch ou garantir que o servidor seja completamente atualizado resolverá o vazamento da FwpsAllocateCloneNetBufferlist() da API.