0x00000105蓝屏源于驱动向只读内存写入，需先查事件查看器中BugCheck事件的DriverName字段，再运行mdsched.exe检测内存；重点排查USBPcap、Npcap等抓包驱动，安全模式下卸载并禁用，最后执行pnputil/DISM/SFC修复及bcdedit启用NX保护。
定位0x00000105蓝屏的触发源头
Win11系统反复在启动初期或休眠唤醒后蓝屏，错误代码0x00000105明确指向“ATTEMPTED_WRITE_TO_READONLY_MEMORY”，即程序试图向只读内存页写入数据——这99%不是应用软件导致，而是某个驱动强行覆盖了内核标记为只读的关键结构体。
先别急着卸载驱动。打开【事件查看器】→【Windows日志】→【系统】，筛选“错误”级别+时间范围锁定蓝屏前30秒内的“BugCheck”事件，双击查看详细信息，重点看“BugcheckCode”下方的“DriverName”字段。如果该字段为空或显示“ntoskrnl.exe”，说明问题藏在更底层，需进入下一步。
这一步必须做：用Win+R输入mdsched.exe回车，选择“立即重新启动并检查问题”。内存硬件真出问题时，它比任何软件诊断都准——因为0x00000105有约17%概率由物理内存颗粒老化引发，尤其是DDR4超频条在Win11 24H2内核调度下更容易暴露写保护失效。
排查USBPcap等抓包驱动冲突
如果你装过Wireshark、USBPcap、Fiddler或AnyDesk/TeamViewer等含内核驱动的远程工具，它们就是首要怀疑对象。USBPcap在Win11 24H2存在已知内核bug，其驱动USBD.SYS会绕过内存页保护机制直接覆写NT内核的EPROCESS结构，直接触发0x00000105。
方法一：安全模式下彻底卸载
重启按住Shift点“重启”→疑难解答→高级选项→启动设置→重启→按F4进安全模式。进系统后，打开设备管理器→展开“网络适配器”，找到带“USBPcap”“Npcap”“WinPcap”字样的设备，右键→卸载设备→勾选“删除此设备的驱动程序软件”→确定。再打开“查看”菜单→“显示隐藏的设备”，在“非即插即用驱动程序”里找到usbpcap.sys和npf.sys，右键停用。
方法二：用PowerShell强制禁用（无需重启）
以管理员身份运行PowerShell，执行：
sc stop usbpcap & sc config usbpcap start= disabled
sc stop npf & sc config npf start= disabled
这两条命令会立即停止服务并禁止开机自启。注意等号后必须有空格，否则命令失败。
【关键提醒】不要只在控制面板里卸载Wireshark或AnyDesk——它们的驱动残留会在后台静默加载，必须通过设备管理器或sc命令清除。
修复被污染的系统映像与驱动缓存
当驱动违规写入只读内存后，系统可能已将损坏的内核模块缓存到WinSxS目录，单纯卸载驱动无法根除。必须重建纯净驱动栈：
第一步：清理驱动缓存
管理员CMD中执行：
pnputil /enum-drivers > drivers_list.txt
生成列表后，用记事本打开drivers_list.txt，搜索关键词“usbpcap”“npf”“fiddler”“teamviewer”，记录下对应OEM编号（如oem12.inf）。然后逐条执行：
pnputil /delete-driver oem12.inf /uninstall
第二步：扫描并修复系统文件
继续在同个CMD窗口执行：
dism /online /cleanup-image /restorehealth
等待进度到100%后，立即执行：
sfc /scannow
这两个命令必须按顺序执行，且中间不能重启——DISM修复映像层，SFC校验并替换被污染的系统文件。
第三步：重置内核内存保护策略
执行：
bcdedit /set {current} nx AlwaysOn
这条命令强制启用硬件级数据执行保护（DEP），能拦截绝大多数0x00000105类写操作。若提示“拒绝访问”，说明当前账户未获TrustedInstaller权限，需先用takeown /f C:\boot\BCD获取所有权。
