STOP 0x000000F7 屬於較罕見的停機碼，通常與特定廠商的硬碟保護/還原軟體（如 Deep Freeze、Reboot Restore Rx、駭客防線類產品的底層驅動）或網路啟動/同傳部署環境相關。本文針對「設定靜態 IP 後關機/重啟觸發 0xF7」的特定場景進行深度解析。

場景重現與根因分析

復現條件

• 環境：Windows XP（亦可能發生於舊版 Windows Embedded）。
• 已安裝硬碟保護軟體（磁區級快照/重導向驅動）。
• 網路介面卡設定為靜態 IP 位址。
• 執行「關機」或「重新啟動」。

技術根因

硬碟保護驅動（Filter Driver 掛載在儲存堆疊）會攔截系統關機流程，嘗試將當前網路設定（含 IP 位址）備份至保護區（Type 12 區域），以便下次開機還原網路環境。然而，該驅動在處理 IP 位址字串時存在緩衝區溢位/指標解參考錯誤：

1. 系統關機時，網路協議棧釋放 IP 設定，記憶體區塊被標記為可重用。
2. 保護驅動嘗試讀取該記憶體區塊的 IP 字串，但記憶體內容已被覆寫/釋放，讀到垃圾資料。
3. 驅動未驗證字串長度/有效性，直接複製至核心緩衝區導致緩衝區溢位。
4. 核心偵測到緩衝區溢位，觸發 0x000000F7 (DRIVER_OVERRAN_STACK_BUFFER) 停機保護。

解決方案（按推薦順序）

方案一：改用 DHCP 動態取得 IP（最簡單、立即生效）

1. 開啟「網路連線」→ 右鍵「區域連線」→ 內容。
2. 選取「Internet 通訊協定 (TCP/IP)」→ 內容。
3. 選擇「自動取得 IP 位址」與「自動取得 DNS 伺服器位址」。
4. 確定離開，重啟驗證不再藍屏。

原理：避免靜態 IP 字串在關機階段被保護驅動錯誤處理。

方案二：更新/重裝硬碟保護軟體至相容版本

• 聯繫軟體廠商取得支援該作業系統版本（含 SP 版本）的最新驅動。
• 若為企業環境，要求廠商提供修正 0xF7 之熱修補程式或升級包。

方案三：調整硬碟保護策略排除網路設定備份

部分保護軟體允許設定「排除檔案/登錄/登錄機碼」不納入保護範圍：

• 排除登錄機碼：HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{GUID}
• 排除檔案：C:\Windows\System32\drivers\etc\hosts 等網路設定檔。

方案四：網路同傳/部署環境調整

若為網路同傳部署（如 Ghost 多播、WDS、PXE 開機）：

• 在部署映像製作階段，預設網卡為 DHCP 模式。
• 同傳腳本中，於映像部署完成、首次開機前，透過離線修改登錄或 netsh 指令注入靜態 IP 設定，而非在映像內預設靜態 IP。

延伸：同類驅動缓衝區溢位藍屏代碼對照

現代環境建議

Windows XP 已停止支援超過十年，若仍因業務需求（舊式產線設備、專用醫療儀器、POS 系統）必須維持 XP 環境：

• 將系統置於完全隔離的 VLAN，禁止連接外網。
• 使用應用程式白名單（AppLocker/Software Restriction Policies）鎖定僅允許授權程式執行。
• 硬碟保護軟體改用虛擬機器快照或唯寫磁碟陣列方案替代核心驅動方案，消除驅動層級風險。
• 規劃遷移至 Windows 10/11 IoT Enterprise LTSC，獲得長期支援與現代驅動模型（WDF/KMDF）保護。

0xF7 雖罕見，卻揭示了核心模式驅動處理使用者模式資料（IP 字串）時缺乏邊界檢查的經典程式設計錯誤。現代驅動開發框架（KMDF/WDF）已內建緩衝區安全檢查，此類問題在新版 Windows 驅動中極少見。若您維護舊系統，請優先採用「DHCP 繞過」方案快速止血，並規劃長期遷移路徑。

停機碼	名稱	典型誘因
0x000000F7	DRIVER_OVERRAN_STACK_BUFFER	驅動堆疊緩衝區溢位（本文主題）
0x00000109	CRITICAL_STRUCTURE_CORRUPTION	核心關鍵結構被驅動竄改（含緩衝區溢位）
0x00000139	KERNEL_SECURITY_CHECK_FAILURE	核心安全檢查失敗（GS Cookie 檢查失敗，即緩衝區溢位保護觸發）
0x000000F1	SCSI_VERIFIER_DETECTED_VIOLATION	SCSI 驅動違反驗證器規則（含緩衝區處理）