Windows崩溃分析：Pool Non paged bytes与stack buffer overrun是否相关？

结论 #

两者不存在直接因果关联，二者属于Windows内存体系中完全不同的内存域的异常现象，具体说明如下：

核心概念差异

• 栈缓冲区溢出：本次报错0xc0000409是Windows栈保护（GS）机制触发的异常，异常参数0x5明确对应栈安全Cookie校验失败。该问题属于用户态进程/内核线程私有栈内存的越界写入问题：栈是固定大小的线程级私有内存（用户态栈默认1MB），溢出的直接原因是程序代码对栈上分配的缓冲区执行写入操作时超过了边界，破坏了栈上存储的返回地址、安全Cookie等关键结构，被系统检测后主动终止进程。
• Pool Non Paged Bytes（非分页缓冲池字节数）：属于Windows内核态全局内存域，是不会被交换到页面文件、始终常驻物理内存的内核内存区域，仅内核组件、第三方驱动可分配使用，进程维度的该指标统计的是该进程发起的系统调用关联的非分页池内存分配总量。

可能的间接关联场景

仅在特定场景下二者会同时出现，但不存在互相导致的逻辑：

• 存在漏洞的代码分支先连续发起内核调用分配非分页池内存且未正确释放，导致该指标持续升高，后续同一分支的栈越界操作触发崩溃，二者是同一段问题代码的先后结果。
• 进程加载的第三方驱动同时存在两个独立bug：非分页池内存泄漏、内核态栈缓冲区溢出，二者均为驱动缺陷导致的并行现象。

排查建议

优先分析崩溃dump的调用栈：

1. 若溢出触发点在用户态模块，直接排查对应函数内的栈缓冲区操作（重点检查无长度校验的内存拷贝、字符串操作类函数）即可，无需关联非分页池指标异常。
2. 若溢出触发点在内核态驱动模块，再同步排查该驱动的非分页池分配、释放逻辑是否存在泄漏。

内容的提问来源于stack exchange，提问作者srajeshnkl