source insight卸载、重装都打不开解决办法

附：您可以直接看最后几行的结论。。。。。。
  
下午正逆向的带劲，要查windows内核某函数参数，向平常一样打开source insight, 令人喷饭的是
si竟然异常了，这软件也能异常。还以来中了什么东西被人插了，看看它的进程模块，无异常，难道
是被无模块的插了？本人行走江湖有些年头了，向来小心，这种可能性不大。算了，换版本。
于是google,迅雷一起上，soso地下来3,4个版本，一痛装啊，再令人喷饭的是，全都异常。
再google之，有人说需要把什么注册表的什么地方、我的文档里的source insight目录删除，好，我删。
再开，还是异常。受不了，直接上OD。
OD加载之，异常发生此外：
  
00412993  /$  55            push    ebp
00412994  |.  8BEC          mov     ebp, esp
00412996  |.  51            push    ecx
00412997  |.  FF75 08       push    dword ptr [ebp+8]                         ; /Arg1
0041299A  |.  E8 DCFAFFFF   call    0041247B                                  ; \Insight3.0041247B
0041299F  |.  8945 FC       mov     dword ptr [ebp-4], eax
004129A2  |.  8B45 0C       mov     eax, dword ptr [ebp+C]
004129A5  |.  83E0 01       and     eax, 1
004129A8  |.  C1E0 08       shl     eax, 8
004129AB  |.  8B4D FC       mov     ecx, dword ptr [ebp-4]
004129AE      8B09          mov     ecx, dword ptr [ecx]                        ;这里异常了
  
异常发生在最后一句指令处，即mov     ecx, dword ptr [ecx]，此时ecx为0，看看，ecx就是call    0041247B
的返回值，在这个call处下断，ctrl+F2重新加载，第一次断下，[ebp+8]为0，call    0041247B返回某个地址，正常。
第二次断下，[ebp+8]为-1，call    0041247B返回0，执行到004129AE处，当然异常了。
看来，原因出在[ebp+8]这个参数上，第二次断下的时候，看栈：
  
调用堆栈：     主线程
地址       堆栈       函数过程 / 参数                       调用来自                      结构
0006F550   00446393   Insight3.00412993                     Insight3.0044638E             0006F86C
0006F554   00000001     Arg1 = 00000001
0006F558   00000000     Arg2 = 00000000
0006F870   00445FE6   Insight3.00446132                     Insight3.00445FE1             0006F86C
0006F874   00000000     Arg1 = 00000000
0006F878   0006FAA8     Arg2 = 0006FAA8
0006F87C   00000001     Arg3 = 00000001
0006F880   00000001     Arg4 = 00000001
0006F884   0000000A     Arg5 = 0000000A
0006F888   0006FED0     Arg6 = 0006FED0
0006FED8   0044070A   Insight3.00445DAE                     Insight3.00440705             0006FED4
0006FEDC   00091F0E     Arg1 = 00091F0E
0006FEE0   0000000A     Arg2 = 0000000A
0006FEE4   0006FF2C     Arg3 = 0006FF2C
0006FF38   005214AB   Insight3.004405A8                     Insight3.<模块入口点>+0C9          0006FF34
0006FF3C   00400000     Arg1 = 00400000
0006FF40   00000000     Arg2 = 00000000
0006FF44   00091F0E     Arg3 = 00091F0E
0006FF48   0000000A     Arg4 = 0000000A
  
调用是从00446132发起来，返回地址是00446393，跟随到这个返回地址看看：
  
0044636E  |> \6A 00         push    0                                         ; /Arg4 = 00000000
00446370  |.  68 60805C00   push    005C8060                                  ; |Arg3 = 005C8060 ASCII "C:\DOCUME~1\DevUser\LOCALS~1\Temp\"
00446375  |.  6A 00         push    0                                         ; |Arg2 = 00000000
00446377  |.  68 BCCE5B00   push    005BCEBC                                  ; |Arg1 = 005BCEBC ASCII "TFXXXXXX"
0044637C  |.  E8 2ACAFCFF   call    00412DAB                                  ; \Insight3.00412DAB
00446381  |.  A3 D8955C00   mov     dword ptr [5C95D8], eax
00446386  |.  6A 00         push    0
00446388  |.  FF35 D8955C00 push    dword ptr [5C95D8]
0044638E  |.  E8 00C6FCFF   call    00412993                            <----出问题的call
00446393  |.  833D D8955C00>cmp     dword ptr [5C95D8], -1      <----返回到这里
  
可以看出，出问题的call的参数，就是5C95D8的内容，也就是call    00412DAB的返回值，也就是说当
call    00412DAB 返回-1时，就会出现当前的这个异常，于是在call    00412DAB处下断，经过数次粗跟，
可以断定当第二次断在这里时，这个call返回-1，于是，重新加载，第二次断在这里时，F7跟入
  
00412DAB  /$  55            push    ebp
00412DAC  |.  8BEC          mov     ebp, esp
00412DAE  |.  81EC 00010000 sub     esp, 100
00412DB4  |.  56            push    esi
00412DB5  |.  57            push    edi
00412DB6  |.  8D85 00FFFFFF lea     eax, dword ptr [ebp-100]
00412DBC  |.  50            push    eax                                       ; /Arg4
00412DBD  |.  FF75 10       push    dword ptr [ebp+10]                        ; |Arg3
00412DC0  |.  FF75 0C       push    dword ptr [ebp+C]                         ; |Arg2
00412DC3  |.  FF75 08       push    dword ptr [ebp+8]                         ; |Arg1
00412DC6  |.  E8 D1FEFFFF   call    00412C9C                                  ; \Insight3.00412C9C
00412DCB  |.  85C0          test    eax, eax
00412DCD  |.  75 16         jnz     short 00412DE5
  
通过对这段的代码2次动态跟踪，发现当00412DC6处的call    00412C9C返回0时，这个函数返回-1，于是，跟入00412C9C这个函数
00412C9C  /$  55            push    ebp
00412C9D  |.  8BEC          mov     ebp, esp
00412C9F  |.  81EC 0C030000 sub     esp, 30C
00412CA5  |.  68 FF000000   push    0FF
00412CAA  |.  8D85 00FFFFFF lea     eax, dword ptr [ebp-100]
00412CB0  |.  50            push    eax
00412CB1  |.  FF75 08       push    dword ptr [ebp+8]
00412CB4  |.  E8 17030000   call    00412FD0
00412CB9  |.  8D85 00FEFFFF lea     eax, dword ptr [ebp-200]
00412CBF  |.  50            push    eax                                       ; /Arg1
00412CC0  |.  E8 2B0A0000   call    004136F0                                  ; \Insight3.004136F0
00412CC5  |.  FF75 10       push    dword ptr [ebp+10]                        ; /Arg1
00412CC8  |.  E8 AB090000   call    00413678                                  ; \Insight3.00413678
00412CCD  |.  85C0          test    eax, eax
00412CCF  |.  75 07         jnz     short 00412CD8
00412CD1  |.  33C0          xor     eax, eax
00412CD3  |.  E9 CF000000   jmp     00412DA7
00412CD8  |>  837D 0C 00    cmp     dword ptr [ebp+C], 0
00412CDC  |.  75 39         jnz     short 00412D17
00412CDE  |.  8D85 FCFCFFFF lea     eax, dword ptr [ebp-304]
00412CE4  |.  50            push    eax                                       ; /TempName
00412CE5  |.  6A 00         push    0                                         ; |Unique = 0
00412CE7  |.  FF75 08       push    dword ptr [ebp+8]                         ; |Prefix
00412CEA  |.  FF75 10       push    dword ptr [ebp+10]                        ; |Path
00412CED  |.  FF15 C4C25200 call    dword ptr [<&KERNEL32.GetTempFileNameA>]  ; \GetTempFileNameA
00412CF3  |.  85C0          test    eax, eax
00412CF5  |.  75 07         jnz     short 00412CFE
  
通过对这段代码的2次动态跟踪，发现对GetTempFileNameA的调用失败，会造成这个函数返回0
  
0006F108   005C8060  |Path = "C:\DOCUME~1\DevUser\LOCALS~1\Temp\"
0006F10C   005BCEBC  |Prefix = "TFXXXXXX"
0006F110   00000000  |Unique = 0
0006F114   0006F120  \TempName = 0006F120
  
这时，相关参数如上，即source insight要在C:\DOCUME~1\DevUser\LOCALS~1\Temp\目录创建以TFX开头的临时文件，如果创建失败，返回0。
显然，创建失败了。到这个目录里看看，dir TFX*,一堆的文件，好，del TFX*,重新加载，运行，OKey了。
  
总结：当C:\DOCUME~1\DevUser\LOCALS~1\Temp\目录创建以TFX开头的临时文件过多，造成无法在这个目录创建以TFX开头的临时文件，会造成
source insight的崩溃，因为source insight对创建得到的临时文件句柄的有效性未做任何检测。
  

解决办法：删除C:\DOCUME~1\DevUser\LOCALS~1\Temp\目录下以TFX开头的所有临时文件

亲测有效：可能有的机器中文件名和上文中不同，例如本机(win7)的对应文件：C:\Documents and Settings\Default User\Local Settings\Temp，或者该文件夹是空的，直接删除该文件夹，还有win7可能需要先获取管理员权限才能打开对应文件夹。