DRIVER_OVERRAN_STACK_BUFFER反复蓝屏且安全模式仍崩溃，需优先排查木马级驱动后门：先查Minidump中.sys文件签名，再用PowerShell筛查异常服务，结合Autoruns、GMER和Defender离线扫描定位并隔离非微软签名或隐藏驱动。
Win11蓝屏反复报错DRIVER_OVERRAN_STACK_BUFFER，且安全模式下仍偶发崩溃，说明问题驱动可能已被恶意程序注入或伪装，不能只当普通驱动故障处理——必须优先排查是否已中木马级驱动层后门。
确认是否真为木马驱动而非普通驱动缺陷
这一步决定后续方向：若Minidump分析指向sprotect.sys、RTKVHD64.sys、nvlddmkm.sys等常见驱动名，大概率是正常驱动缺陷；但若日志中出现非常规文件名（如drv3278.sys、sysguard64.sys、winlogonx.sys），或调用链里混入非微软签名的.sys文件路径（如C:\Windows\System32\drivers\temp\、C:\ProgramData\svchost\），【必须立即按木马流程处置】。
打开C:\Windows\Minidump，找最新生成的Mini开头.dmp文件。右键→属性→“详细信息”选项卡，查看“公司名称”字段：若显示“Microsoft Corporation”或设备厂商（如NVIDIA、AMD、Realtek）则暂排除木马；若为空、显示“Unknown”、或出现陌生公司名（如“CloudTech Solutions”“SecureCore Labs”），直接进入下一步。
在安全模式下提取可疑驱动文件
带网络的安全模式启动后，立即执行以下操作：
第一步：按Win+R输入powershell → 以管理员身份运行 → 粘贴并回车：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7045} | Where-Object {$_.Message -like '*service*'} | Select TimeCreated, Message | Format-List
该命令会列出所有最近注册的Windows服务，重点查找Service Name含随机字符串（如Svc_8a3f2e、WinHoster_x64）、Binary Path Name指向C:\Windows\Temp\、C:\Users\Public\、C:\ProgramData\ 或路径中含%TEMP%、%APPDATA% 的条目——这些是木马驱动的典型注册痕迹。
第二步：对上一步发现的可疑服务，记下其Binary Path Name完整路径，例如C:\Windows\Temp\drv3278.sys。打开文件资源管理器，地址栏直接粘贴该路径，回车。若文件存在，右键→属性→“数字签名”选项卡：无签名、签名无效、或签名者非微软/主流硬件厂商，【切勿双击或尝试运行，立即复制到U盘隔离】。
第三步：打开C:\Windows\System32\drivers\，按修改日期排序，筛选近7天内新增的、文件名含数字组合（如kern32.sys、winmgr64.sys）、或扩展名看似.sys但实际为.exe重命名的文件（用记事本打开看开头是否为MZ字样）。找到即刻剪切至桌面新建文件夹“待查驱动”，不要删除。
使用专业工具扫描驱动层木马
方法一：使用Sysinternals Autoruns（微软官方工具）
下载地址：https://learn.microsoft.com/en-us/sysinternals/downloads/autoruns
解压后右键Autoruns64.exe → “以管理员身份运行” → 等待加载完成 → 切换到“Drivers”选项卡 → 勾选左下角“Hide Microsoft Entries” → 扫描全部非微软签名项。重点关注Status列标红、Publisher列为空或为“Not Verified”的行。右键可疑项→“Jump to Entry”可定位文件位置，再右键→“Check VirusTotal”在线查毒（需联网）。
方法二：使用GMER（轻量级Rootkit检测器）
下载gmer.net最新版（注意仅从官网下载，防捆绑）→ 解压后以管理员运行gmer.exe → 勾选“Drivers”、“SSDT”、“IAT/EAT”、“Services” → 点击“Scan” → 完成后查看结果列表。若出现红色高亮条目，或Driver Name列显示“[HIDDEN]”、“[HOOKED]”，说明已存在内核级隐藏或劫持行为，【此时不要点“Fix”按钮，先截图保存结果】。
方法三：使用Windows Defender离线扫描
设置→更新和安全→Windows安全中心→病毒和威胁防护→“扫描选项”→选择“Microsoft Defender 脱机扫描”→点击“立即扫描”。该扫描在系统重启前启动独立环境，能捕获正在运行的驱动层木马。扫描过程约20分钟，完成后自动重启并显示结果。
