聊一聊 .NET高级调试 内核模式堆泄露

一：背景

1. 讲故事

前几天有位朋友找到我，说他的机器内存在不断的上涨，但在任务管理器中查不出是哪个进程吃的内存，特别奇怪，截图如下：

在我的分析旅程中都是用户态模式的内存泄漏，像上图中的异常征兆已经明确告诉你了，不是用户态程序吃的内存，那就是内核态程序吃的，比如：

• 某些驱动程序
• 操作系统

从概率上来说一般都是某些第三方程序内存泄露导致的，这一篇我们就来聊一聊这种问题该如何解决。

二：内核模式堆泄露分析

1. 驱动程序是如何分配内存的

相信有很多朋友都知道，用户态的程序是直接或者间接的调用 VirtualAlloc 方法来向操作系统要内存，包括 C# 的 GC 堆也是一样，它的方法签名如下：

LPVOID VirtualAlloc(
  [in, optional] LPVOID lpAddress,
  [in]           SIZE_T dwSize,
  [in]           DWORD  flAllocationType,
  [in]