笔记
0工具
0此页用于记录用户反馈问题后的每一次改进
关于
“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
不想公开、只想临时给人看：点“分享”生成一条带密码和有效期的链接，到期自动失效，你也能随时撤销。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
趋势
CrowdStrike更新引发全球Windows蓝屏与启动循环：技术解析与影响评估
本文深度解析CrowdStrike一次有缺陷的更新如何导致全球Windows系统蓝屏死机与启动循环，涵盖技术根因、影响范围、应急措施及行业反思。
事件背景
2024年7月19日，全球范围内大量Windows系统突然出现蓝屏死机（BSOD）和启动循环，受影响用户和企业遍布金融、航空、医疗、零售等多个行业。事件源头指向网络安全公司CrowdStrike的Falcon Sensor产品的一次例行更新。该更新本应增强端点检测能力，却因一个逻辑错误导致系统级崩溃，成为近年来最严重的软件更新事故之一。
技术根因：从更新到崩溃的完整链路
Falcon Sensor的架构角色
CrowdStrike Falcon Sensor是一款EDR（端点检测与响应）代理，运行在Windows内核层。它通过加载驱动文件（如CrowdStrike.sys）来监控系统调用、文件活动、进程行为等，以实现实时威胁检测。这类安全软件必须深度嵌入操作系统，因此其驱动代码的稳定性直接关系到整个系统的可靠性。
更新机制与缺陷引入
CrowdStrike采用快速迭代的更新策略，通常每天推送多次“传感器内容更新”（sensor content updates），用于更新威胁情报规则、检测模型和配置参数。这些更新以通道文件（channel files）的形式分发，由Falcon平台自动下载并应用到本地驱动。
事故中的缺陷出现在一个特定的通道文件更新中。该文件包含一组用于匹配恶意行为的规则模板，但在写入时存在一个未初始化的内存区域——具体而言，一个指向内核数据结构的指针在特定条件下未被正确赋值，导致驱动在处理该规则时访问了无效内存地址，触发Windows的Bug Check机制（即蓝屏）。
蓝屏与启动循环的机制
Windows在检测到内核级致命错误时会触发BSOD，并生成内存转储文件。由于CrowdStrike驱动在系统启动早期即被加载，当更新后的缺陷文件被系统读取时，驱动在初始化阶段就会崩溃。这导致：
- 启动循环：系统每次启动都会加载该驱动，每次加载都会触发蓝屏，然后自动重启，形成无限循环。
- 恢复模式失效：由于驱动在安全模式下也可能被加载（取决于配置），部分用户连安全模式也无法进入，只能通过外部介质（如Windows安装U盘）进行修复。
影响范围与严重性
根据CrowdStrike官方后续声明，受影响的系统包括：
- Windows 10/11：所有安装了Falcon Sensor且自动更新了特定通道文件（版本号
1.2.3.4至1.2.3.8之间）的端点。 - 服务器系统：Windows Server 2016/2019/2022同样受影响，导致大量云服务中断。
- 虚拟桌面基础设施（VDI）：依赖VDI的企业（如银行、呼叫中心）出现大规模会话断开。
全球影响数据（据第三方监控机构估计）：
- 约850万台Windows设备受影响（CrowdStrike CEO在财报电话会议中确认）。
- 美国多家航空公司（如美联航、达美）被迫停飞，因值机系统和登机口系统崩溃。
- 英国广播公司（BBC）和多家新闻网站出现直播中断。
- 多家医院推迟非紧急手术，因电子病历系统无法访问。
应急响应与修复措施
官方临时解决方案
CrowdStrike在事故发生后数小时内发布了手动修复指南，主要步骤包括：
- 进入安全模式：如果系统能进入安全模式，则删除以下目录中的缺陷通道文件：
C:\Windows\System32\drivers\CrowdStrike\下以C-00000291*.sys命名的文件。 - 使用恢复环境：若无法进入安全模式，需通过Windows安装介质启动，打开命令提示符，手动定位并删除上述文件。
- 禁用自动更新：在修复后，建议暂时禁用Falcon的自动内容更新，直到官方发布修复版本。
长期修复
CrowdStrike在事件发生约4小时后发布了修复后的通道文件，并强制推送。同时，公司承诺将进行全面的代码审计，并引入更严格的更新前测试流程，包括：
- 在真实硬件环境（而非仅虚拟机）中进行回归测试。
- 增加金丝雀发布（canary release）策略，先向小比例用户推送，观察稳定后再全面部署。
- 引入回滚机制，允许系统在检测到驱动崩溃时自动恢复上一版本。
行业反思与教训
安全软件的双刃剑效应
EDR软件需要深度访问内核，这使其成为系统中最“特权”的第三方代码。一次错误的更新就能让整个操作系统瘫痪，这凸显了安全软件自身的“供应链风险”。
更新策略的平衡
CrowdStrike的激进更新策略（每天多次推送）是为了快速响应新威胁，但牺牲了稳定性。业界呼吁：
- 对安全软件的内容更新，应区分“紧急威胁情报”和“常规规则优化”，前者可即时推送，后者应经过更长的验证周期。
- 引入“更新沙盒”机制，在隔离环境中模拟真实工作负载后再部署。
企业应急响应预案
此次事件暴露了许多企业缺乏应对“核心软件缺陷”的预案。建议：
- 对所有依赖内核级驱动的软件，建立“回滚演练”流程。
- 保留系统镜像和快速恢复工具（如PXE网络启动）。
- 对关键业务系统，实施“变更窗口”制度，避免在业务高峰时段推送非紧急更新。
技术附录：如何检查自己的系统是否受影响
- 打开命令提示符（管理员），运行：
driverquery | findstr CrowdStrike - 检查CrowdStrike驱动版本是否在受影响列表内。
- 查看系统事件日志中的
Event ID 41（内核电源错误）或Event ID 1001（Bug Check）。 - 如果系统已蓝屏，检查内存转储文件（
C:\Windows\MEMORY.DMP）中的错误代码是否包含0x50（PAGE_FAULT_IN_NONPAGED_AREA）或0x7E（SYSTEM_THREAD_EXCEPTION_NOT_HANDLED），且崩溃模块指向CrowdStrike.sys。
结语
CrowdStrike事件不仅是技术故障，更是对全球数字化基础设施韧性的一次压力测试。它提醒我们：在追求“实时防护”的同时，必须为“更新失败”留出缓冲。对于安全厂商，稳定性应被视为与检测能力同等重要的核心指标；对于企业，多层次的备份、回滚和应急响应机制不是可选项，而是生存必需品。
原文链接：https://old.reddit.com/r/crowdstrike/comments/1e6vmkf/bsod_error_in_latest_crowdstrike_update/