关于火绒安全软件hrdevmon.sys造成的无法开机的解决方案和.sys移植问题的探究#

发生了什么#

2天前，为了跟进MathALL项目的开发迭代，打开电脑突然发现Windows启动管理器报错（详见下文），报错指示hrdevmon.sys存在问题，导致无法开机，后引发链式故障。 从毫无征兆的错误，到 0x7B 的引导丢失，再到跨机移植驱动引发的 0x00000050 内存越界，最后在 PE 环境下通过注册表微操和 BCD 命令行强行解决，这就是本次事件的全过程。 这篇文章，我将以偏技术的视角，完整复盘本次故障。

第一幕：蓝屏#

如你所见，我的系统环境是 Windows 11 24H2 精简版 (Lite)，搭配了火绒安全软件（下称“火绒”）。问题当天（5月8日）早晨，电脑在正常运行，后发生过冷关机；当我晚上开机时，发现Windows启动管理器报错0xc000007b，问题文件是hrdevmon.sys图片如下。

遇到这种情况，我的第一反应是难办了。火绒部分驱动程序注册在 Ring 0（内核态）中，大概率是触发了签名异常或者驱动文件出现了写入时的错误。

于是，我进入了PE，想也没想地一口气删除了\Windows\system32\DRIVERS\hrdevmon.sys文件

WARNING

删除.sys这一步实际上是绝对禁止的低级错误，无论是否是第三方驱动程序，都应该评估和确定该驱动的关联驱动，再安全地删除注册表上的有关信息（若有），特别是驱动如果有极高的权限（如此驱动）和运行环境应该加.bak别名备份而非删除，这是非常危险的。切勿模仿。

结果是，造成了严重的启动问题，也就是提到的0x7B错误（Inaccessible_Boot_Device）。

针对.sys和0x7B错误科普#

1
开机 → 加载驱动 → 崩溃蓝屏 → 重启 → 再崩溃 → 无限循环

1
注册表中磁盘驱动器（Disk Drives） UpperFilter 列表还有 hrdevmon 的记录
2
       ↓
3
系统启动时尝试加载hrdevmon
4
       ↓
5
文件不存在，设备栈组建失败
6
       ↓
7
原下一个进程partmgr（分区管理驱动）无法进行
8
       ↓
9
分区找不到，磁盘不可访问 → 0x7B

第二幕：闭眼开车#

BSOD出现和报错是好事，因为找到了问题就可以修复了，但问题在于没有显示错误文件，一个冰冷的7B错误代码是解决不了问题的。

我无法确定是不是只有这一个文件造成了错误，情急之下，我只能通过PE前往注册表编辑器，通过加载配置单元的方式把HKEY_LOCAL_MACHINE\OFFLINE_SYS\ControlSet001\Control\Class\ {4d36e967-e325-11ce-bfc1-08002be10318}的右侧的UpperFilters第一行hrdevmon（如图橙色框内已标出）删除，仅保留partmgr。

删除以后，再次开机，问题尚未得到解决。

第三幕：移植#

为了填补这个文件空缺，并且得到正确的文件。我从另一台正常运行的电脑上，把最新版火绒的 .sys 文件和相关注册表项完整拷贝并强行注入到这台崩溃的电脑中，并且把UpperFilters改回有火绒的样子。 结果是惊人的：0x7B 被成功绕过，系统开始往后加载了！ 但就在我以为胜利在望、鼠标指示灯甚至都已经亮起时，屏幕再次黑屏重启，这次相当奇怪，根据经验判断，这次系统过了partmgr了，但是问题在于黑屏了3-5s才重启，且没有错误日志，这基本证明火绒出现了排异或者配置不对。

为了能得知到底发生了什么，由于这个系统没有WinRE，只好在PE通过修改 BCD 关闭自动重启（bcdedit /set {default} recoveryenabled no），终于得到了错误代码： 0x00000050 (PAGE_FAULT_IN_NONPAGED_AREA)

第四幕：注册表抢修#

到了这一步，别无选择，必须把火绒在系统底层埋下的所有隐患拆了。我开始在 PE 中挂载了故障机的 SYSTEM 配置单元，开始地毯式的斩草除根。 通过 Ctrl+F 配合硬件 GUID，清理了以下所有的 UpperFilters：

1. Volume 存储卷 ({71a27cdd…})：引发 0x7B 的核心。
2. USB 控制器 ({36fc9e60…})：U 盘防毒。这解释了为什么崩溃前键盘指示灯会亮——系统枚举 USB 总线时触发了外来驱动的崩溃。
3. 图像与多媒体 ({6bdd1fc6…}, {4d36e96c…}, {ca3e7ab9…})：新老摄像头与麦克风防偷窥。
4. 便携设备 WPD ({eec5ad98…})：移动设备防泄漏。
5. 硬盘驱动器({4d36e967-e325-11ce-bfc1-08002be10318})：最重要的一项。

• 删除 ControlSet001\Services 下的 sysdiag 等独立服务文件夹。
• 清理 Services\FltMgr\Instances 中向微软原生的文件系统微过滤管理器注册的实例**（不存在）**

第五幕：结束#

在 PE 的命令行中，重新挂载了 UEFI 的 ESP 分区，并解除一切额外的模式：

1
# 重新挂载 EFI 分区
2
diskpart
3
select volume 3
4
assign letter=S
5
exit
6

7
# 擦除安全模式强制指令，恢复正常引导
8
bcdedit /store S:\EFI\Microsoft\Boot\BCD /deletevalue {default} safeboot

当熟悉的 Windows 锁屏界面伴随着光标出现时，我迫不及待立刻卸载了火绒，这场持续了几个小时的内核战争，终于宣告胜利。

究竟发生了什么#

事后复盘，这次事件给了我极大的震撼，也再次验证了真理：