技術部落格
分享橙實驗室工程團隊的問題排查紀錄、產品更新與產業觀察。
驅動程式卸載過程中的 0x7E 藍屏 —— 在 FltMgr DRAINING 狀態下呼叫禁止的完成處理的迷你篩選器
遠端畫面控制下輸入韓文時按空白鍵無法分詞的原因 —— Unicode 字元通道與 IME 組合
只回報復原後的再次發生 —— 以 SUID 旗標表壓縮 TCP·DNS 重複失敗偵測
調查 PC 回應延遲的分析器與檔案派送功能（月報 2026-11-01）
LiveAgent 分析器呼叫的七階段串流回饋、新設僅依賴伺服器資料的節點儀表板、安裝檔上傳續傳、管理員節點頁面 N+1 API 整合 —— 週報（2026-10-26）
慢速線路上重試 15 次仍無法完成的代理更新 —— 以 HTTP Range 實作續傳
症狀清單查詢耗時數秒的問題 —— 調整 $addFields 位置以啟用 MongoDB SBE 引擎
AD 登入延遲與失敗診斷 —— 從 PC 端按通訊埠逐步縮小原因
MQTT 訊息超出代理程式限制後節點每分鐘斷線的問題 —— 藉助 CONNACK Maximum Packet Size 提前過濾
新設代理主動分析器（Analyst）、啟動組長架構改造、納入管理員網路區域改版方案缺漏功能 22 項 —— 週報（2026-10-19）
藍屏傾印 215 例中 81% 被判定為記憶體故障 —— 原來是未載入符號就執行總和檢查碼檢查的誤判
不依賴符號取得 COM 呼叫方 PID —— 按 combase 版本整理的 ServerCall vtable 對照表
症狀重複出現時 Manager 提示視窗中使用者名稱與部門名稱為空的問題 —— detect2 輕量訊息整列覆寫表格列的原因
隨短命行程數量同步成長的行程控制代碼洩漏 —— 收不到 Stop 便永久豁免回收的邏輯
代理規則延遲載入與核心驅動藍白當機修復、遠端控制執行檔改用 mbedTLS 縮減 59% —— 每週回顧（2026-10-12）
記憶體不足時行程建立引發藍白當機的核心驅動 —— 未檢查便讀取 NULL 緩衝區的 0x1E
在頻繁開檔的程式中讓 CPU 飆升的迷你篩選器 —— 用 WPR 與 xperf 確認 PreCreate 檔名查詢佔 28%
將遠端控制執行檔縮減 59% —— 把 DTLS-SRTP 後端從 OpenSSL 換成 mbedTLS
核心回呼註冊失敗卻仍靜默載入的迷你篩選器 —— 每類 64 個上限與無監視載入
迷你篩選器持有 FAST_MUTEX 返回導致的 0x4A 藍白當機 —— __leave 例外路徑上的鎖洩漏
orange.sys 核心驅動藍白當機與控制代碼洩漏穩定化、傾印分析器的核心當機路徑追蹤 —— 每週回顧（2026-10-05）
一個行程強制終止事件讓代理的 ETW 接收整體停擺 —— 版本間欄位差異與 TdhGetProperty 例外
明明有核心傾印卻選了迷你傾印 —— BSOD 傾印選擇邏輯的五處確定缺陷
偵測說 TCP 連線耗時超過 3 秒，這個值可信嗎 —— 用核心時間取代處理時間，以及 SYN 重傳
多目標命令的精確化與異常節點成因分析、命令保留期管理 —— 月度回顧（2026-10-01）
遠端控制 WebRTC both-relay 完成、擴散預測服務化、交換器連接埠觀測、命令精確化 —— 季度回顧（2026 Q3）
無符號情況下識別核心傾印當機成因、瀏覽器網路連線診斷 —— 每週回顧（2026-09-28）
Windows 終端機服務卡死導致代理整體離線 —— sc start 1053 與 ncalrpc 無限等待
認證回應遺失會讓 VM 節點分裂為新文件 —— 復原 ticketb 比對並阻斷 stale ticket 回寫
正常斷線卻令 MQTT WILL 被丟棄、節點卡在 online —— paho 原因碼與重新認證途中斷線
將負載指數改為人等待的時間，解決複製映像 PC 節點重複 —— 每週回顧（2026-09-21）
兩台複製映像 PC 共用同一節點文件的競爭條件 —— 在 MongoDB 中原子化比對與票證輪換
Windows 10 1507 內建 Edge 上無法下載安裝檔 —— 將 async·fetch·CSS 變數回退到 ES5
裝有硬碟還原軟體的 PC 不跳出磁碟機選擇視窗 —— 將 NSIS 偵測條件放寬為廠商資料夾
重算行程負載指數與重複命令保留政策 —— 每週回顧（2026-09-14）
遲到傳輸容忍 90 天，未來時間只給 5 分鐘：為何把代理時鐘偏差處理成非對稱
MongoDB 正規式搜尋為何佔用工作行程 28 秒並漏掉結果
修復一份文件阻塞整個列表、翻頁時項目還會變化的 MongoDB 查詢
月度開發回顧 —— 2026 年 8 月（8/1~8/31）
群組命令發往錯誤 PC 的問題與本地 LLM 引擎更換 —— 每週開發回顧 2026 年第 37 週（8/31~9/7）
伺服器關閉時終端蒐集也必須繼續 —— 移除阻塞代理啟動 13 秒的同步伺服器註冊等待
常駐行程遙測為何在伺服器端間歇遺失 —— 代理 4 處、伺服器 1 處的複合成因全量分析
無網路啟動後 coturn 再也起不來 —— systemd 重試上限與 Docker 橋接陷阱
落在啟動最繁忙時刻的 1.4 秒 WAL 檢查點 —— 跳過週期迴圈的第一次觸發
刪除 0 列卻耗時 6.4 秒 —— SQLite <> 條件的全表掃描與每次重啟都重複的清理批次
走了索引每次啟動仍花 1.2 秒 —— 用部分索引揪出形同虛設的回填查詢
每週開發回顧 — 2026 年第 36 週（8/24~8/31）
規則判定 900 大於 1000 —— 被當作字串比較的數值規則
為無限累積的時間序列加上 TTL —— 將首次觀測與身分資訊拆分到維度表
正常流量抹掉偵測，正常 RST 灌滿偵測 —— ETW TCP 雜訊處理的兩處修正
自研 WebRTC 遠端控制、伺服器資料管線、68 個元件的 RBAC、症狀升級為問題 —— 季度回顧（2026 Q3）
每週開發回顧 —— 2026 W34（08-17 ~ 08-23）
刪除的節點在畫面上復活 —— 彙總集合的 cascade 與會重生的資料列
當傾印分析把原因指向 ntdll.dll —— 從例外時刻的內容回溯呼叫堆疊
誤讀 DNS ETW 事件 ID 的後果 —— 偵測量暴增 6.6 倍，真正的失敗偵測卻是死碼
Windows 防火牆已攔截卻偵測不到 —— ETW TCP 事件中 Domain 欄位的陷阱
在 0x9F 藍白當機中找出真正的問題驅動 —— 透過走訪裝置堆疊定位迷你連接埠驅動
核取方塊只是隱藏了提示 —— 「行動端不適用自動登出」其實從未阻止登出
無到期而無限累積的管理端工作階段 —— 以閒置下限與絕對到期兩條軸整治
防毒軟體把我們的看門狗誤報為投放器 —— 用原生執行取代 PowerShell EncodedCommand
遲到的遙測在小時彙總中消失 —— 依到達曲線設計的四級重新彙總階梯
遠端控制畫質變糊、CPU 衝到 100% —— 漏處理 MF_E_TRANSFORM_STREAM_CHANGE 重新協商而卡在軟體編碼
將現場 305 起藍白當機歸為七類 —— BSOD 分類與實測分布
自研遠端螢幕控制完成、coturn 標準化與連線路徑多級化、Signal Command 與節點資產綑綁 API、MQTT 主題隔離 —— 每週回顧（2026-08-03 ~ 08-10）
將輕量命令基礎設施化 —— 無需結果彙總的標準命令通道與「輕量 ≠ 不負責」原則
更新安裝過程中寫入遺失導致代理批次失聯事件 —— 成因分析與自我修復強化
在程式碼簽章判定中納入信任結果 —— 只信簽署者名稱，被竄改的簽章就會通過關卡
治理 SQLite WAL 無限成長 —— 檢查點未啟用的缺陷與 zipvfs 限制下的大小監控設計
WebRTC 雙重 NAT 黑畫面除錯 —— 當 P2P 被誤判為成功時，以媒體到達為準強制切換中繼
基於 WebRTC 的自研遠端螢幕控制建構記 —— DXGI 擷取、MF H.264、libdatachannel，直到安全桌面與 TCP 中繼
AI 遠端診斷與自研遠端螢幕控制接線、虛擬 Agent 負載驗證、MongoDB 三層計量、mosquitto FD 耗盡 crash loop 解除 —— 每週回顧（2026-07-27 ~ 08-03）
AI 遠端診斷的伺服器自治、Network Zone 位置判定引擎、orange.sys IRQL 藍白當機根本修復 —— 月度回顧（2026-07）
PowerShell 行程蒐集為何間歇性部分失敗 —— 查詢後的結束競爭與 Split-Path 的 null
最小化虛擬 GPU 節點的遠端控制 CPU 負載 —— BGRA→NV12 色彩轉換整數化 + dirty-rect 局部更新
自動復原一次都沒執行過 —— 復原安裝程式把自己的父行程殺掉了
mosquitto 2.1 watchdog 誤判 crash loop —— FD 1024 耗盡導致 sd_notify 被靜默丟棄
母映像複製環境中的 PC 名重複與下載最佳化（Delivery Optimization）分析
React 元件首次進入時面板閃爍的原因 —— ResizeObserver 在 paint 之後執行
負載指標 K 線（OHLC）不連續的原因 —— 修正分桶切換使開盤價承接前一收盤價
無人值守更新指令碼在資料庫遷移處無限等待的原因 —— 追蹤被吞掉的 stdin 提示
構建因 GitHub API 不穩定而無限等待 —— 批處理指令碼 Python 打包步驟的健壯性改造
Driver Verifier 暴露的核心 BSOD —— 為什麼不能持鎖呼叫 ZwClose（0xC4 IrqlZwPassive）
工作組 PC 域名為空字串的原因 —— 丟棄 DsRole 的 DomainNameFlat 轉而呼叫依賴服務的 API
AG Grid 中 IP 與版本號排序顛倒的原因 —— 因缺少 comparator 導致字典序排序的全域修復
VM 節點每次重啟都與自身分裂的原因 —— 抑制關機 POST 中的票據輪換
同一個 SUID 卻混入 lsass、svchost 與 Defender —— 32 位雜湊衝突全量分析
核心驅動控制代碼洩漏追蹤 —— 處理程序退出回撥中 __finally 不執行的原因
過長的指令列吞掉整個處理程序事件 —— 用 4KB 核心訊息上限阻止 12KB 丟棄
短生命週期處理程序 CPU 測量精度改進 —— 核心與代理時鐘同步及 PID→PUID 切換
戰勝 PID 重複使用的處理程序唯一編號 —— 將核心驅動的 PUID 切換為 Windows StartKey
系統效能資訊新增磁碟與網路收發指標 —— 從處理程序彙整近似改為 OS 直接 API 擷取
控制代碼洩漏實測分析 —— 指紋識別安全軟體（FMService64）的 1,671 萬控制代碼與記憶體過量處理程序偵測
隔離網 Ubuntu 伺服器的系統包版本鎖定 + 離線安全升級（.deb closure 包 + lock.json）
切換到 WebView2 https 虛擬主機後本機圖示損壞 —— 透過第二個虛擬主機對映解決
Docker Desktop 更新後構建因 401 失敗的 cmd echo 陷阱 —— --password-stdin 管道前的空格
Windows 核心 freeze 事後分析 —— 透過 NMI 鍵盤觸發強制收集記憶體傾印
用微過濾器偵測執行中 EXE 刪除失敗（STATUS_CANNOT_DELETE）—— Deleter、Runner、Launcher 三方識別
Chrome 各主版本對 PC 的影響分析 —— 以 45 臺 PC × 9 個主版本 = 150 組（PC × 主版本）為單位測量影響度
代理啟動時每個處理程序恰好停頓 3 秒的 self-wait 迴歸 —— FltSendMessage 阻塞案例分析
sprocess 小時級聚合 + Rotate 統一入口、以 MQTT subscriber-driven publish 阻斷 31k SUID 暴漲、確立 Manager Web 設計系統 —— 週報（2026-06-01 ~ 2026-06-08）
Windows 核心殭屍處理程序偵測 —— EPROCESS 殘留判定與 PID 重複使用安全性
新程式匯入影響度分析 —— 測量 AhnLab 的 980 個處理程序對 77 臺公司 PC 的資源與症狀影響
處理程序影響度元件四倉庫並行實現、遷移至 MongoDB 事務基礎設施、檔案事件降低 4 千萬倍的 throttle —— 月報（2026-05）
規避 broker OpenSSL 3.0.x 殘留路徑、處理程序影響度元件四倉庫並行整理、檔案事件降低 4 千萬倍的 throttle —— 週報（2026-05-25 ~ 2026-06-01）
MongoDB 遷移至 single-node replica set —— 啟用事務與不停機遷移
一年間解決的問題 —— BSOD 分析器、DB Migration 體系、管理器 RBAC、核心驅動死鎖、管理器診斷工具 —— 年報（2025-05-26 ~ 2026-05-26）
FastAPI WebSocket 認證失敗導致 1006/1011 無限重試 —— close-before-accept 陷阱與 1008 的正確傳送
DB Migration 體系、伺服器監控 SNMP 五大領域、管理器狀態面板、核心驅動死鎖 —— 季報（2026 Q2）
wasClean 的陷阱 —— WebSocket 夜間失聯與按 close code 劃分的重連、登出策略
Mosquitto 上無關節點掉線 —— OpenSSL 3.0.x record layer 缺陷（0A000123）與 abrupt close 規避
ResizeObserver loop limit exceeded —— 在多元件儀表板中用 setState 守衛切斷迴圈
EPROCESS SignatureLevel 為何為 0 —— Medium IL 處理程序的 MS 簽名判定侷限與 Authenticode 迂迴方案
兩次筆記型電腦藍屏的真正原因 —— Intel 乙太網 D3 轉換（0x9F）與 WSL2 記憶體（0x7E）的 windbg 分析
Mosquitto 2.0「Unable to write pid file」的原因 —— 權限降級與 systemd 目錄屬主衝突
遷移至 Azure AD 後既有程式故障 —— 帳戶繫結的檔案與登錄檔導致的 FILE_NOT_FOUND / ACCESS_DENIED
是哪個處理程序殺了我的程式 —— 用 ETW Kernel-Audit-API 追蹤強制終止
PC 卡頓（變慢）現場分析指南 —— 區分元兇處理程序與元兇驅動
藍芽斷連的隱藏原因：電池電源策略追蹤指南
為 Windows 核心驅動獲取 MS 簽名（Attestation）—— 從構建到 Partner Center 提交
Git Flow + Jira 聯動分支策略 —— 透過 issue key 自動追蹤提交、分支與 PR
WMIPrvSE.exe 高CPU佔用原因追蹤指南
客戶PC效能分析報告 2
客戶PC效能下降案例分析報告
會議室連線 HDMI 時筆記型電腦 CPU 過載與 Wi-Fi 掉線 —— Optimus（iGPU/dGPU）切換與電池供電功耗限制
升級防毒軟體（Symantec Endpoint Protection）使端點負載下降 43% —— 49 臺裝置實測對比
dxgmms2.sys CPU 佔用的隱藏原因 —— 遠端控制虛擬顯示器（Mirage Driver）完整分析
如何偵測 System（PID 4）的 CPU 佔用 —— 核心執行緒與驅動負載的識別方法
44 臺中 28 臺發現 Mirage Driver —— 遠端控制殘留導致 dxgmms2.sys 負載的現狀調查
45 臺企業 PC 的 IT 故障綜合分析 —— CPU 佔用、強制終止與藍屏的真實原因（2025 年 5 月）
防毒軟體（SEP）CPU 過度佔用專項分析 —— 41 臺中 17 臺（41.5%）反覆出現，模組分佈與應對建議
經 USB 傳入的「萬能驅動」安裝檔案被判定為惡意的案例 —— 取證時間線完整追蹤
OrangeLabs | 終端效能與故障管理解決方案
Orange The Client — 終端效能與故障管理解決方案
價格方案
Orange The Client 使用者手冊
產品影片
版本發布說明
資料室
技術部落格
公司介紹
人才招募
合作夥伴
支援
聯絡我們
隱私權政策
服務條款