排查实录 | 一个BluetoothAdvertising.exe崩溃弹窗引发的破案全过程关键词Windows 崩溃排查、WER、事件日志、数字签名、0x80131623一、事故现场一个诡异的崩溃弹窗某天我打开电脑系统弹出一个错误报告出错应用程序名称 BluetoothAdvertising.exe版本 1.1.10.528时间戳 0x696f0000 出错模块名称 coreclr.dll 版本 8.0.2426.7010时间戳 0x696fb1e0 异常代码 0x80131623 错误偏移 0x000000000025409f Faulting 应用程序路径 C:\Program Files (x86)\BLE\cuihua\BluetoothAdvertising\BluetoothAdvertising.exe这已经是第 N 次看到它了。更烦人的是最近电脑总是莫名其妙地重启——没有任何征兆说重启就重启。两个问题直接砸过来这个BluetoothAdvertising.exe到底是个什么鬼它会不会导致死机 / 重启这篇文章就是我完整的排查过程。先说结论折腾半天元凶居然是我自己电脑出厂就带的官方正品。二、初步判断从弹窗里能读出什么先看弹窗里的信息其实线索已经很密集字段解读BluetoothAdvertising.exe程序名不是 Windows 系统组件路径...\BLE\cuihua\BluetoothAdvertising\装在 Program Files (x86) 下的第三方目录coreclr.dll 8.0.2426.7010.NET 8 运行时说明这是个 .NET 程序WPF/WinForms异常码0x80131623.NET 的InvalidOperationException无效操作错误偏移0x25409f崩溃位置后面有大用第一反应这怕不是哪个国产流氓软件偷偷装的吧名字里带 BLE蓝牙低功耗 拼音目录cuihua像极了某个做蓝牙信标广告的营销工具。于是一场抓贼行动开始了。三、破案过程四步定位真凶第一步查户口——注册表里有它吗标准软件都会在注册表卸载项里留记录先查Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*, HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -match Bluetooth|BLE }结果空。没有任何卸载条目——说明它是绿色版程序直接拷贝部署没有安装器。 排查小技巧查不到卸载记录不一定是坏事反而说明它是拷贝式部署多半有自动更新能力会自己下载新版本覆盖文件。第二步查行踪——进程、服务、计划任务、自启动# 进程 Get-Process -Name BluetoothAdvertising* # 服务 Get-CimInstance Win32_Service | Where-Object { $_.PathName -match BLE|BluetoothAdvertising } # 计划任务 Get-ScheduledTask | Where-Object { $_.Actions.Execute -match BluetoothAdvertising } # 自启动注册表 Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run, HKLM:\Software\Microsoft\Windows\CurrentVersion\Run结果全部空白。没在运行、没注册服务、没有计划任务、没有开机自启。这就很奇怪了——一个什么都不挂靠的程序为什么会反复崩溃第三步看案发时间——事件日志暴露真相Windows 会把每次崩溃都记在事件日志里直接查Get-WinEvent -FilterHashtable {LogNameApplication; Level1,2,3; StartTime(Get-Date).AddMonths(-6)} | Where-Object { $_.Message -match BluetoothAdvertising } | Select-Object TimeCreated, Id, ProviderName结果近 6 个月崩溃了 84 次而且时间分布极其规律——几乎每天都在凌晨 0 点到 2 点半之间崩2026-08-23 02:13 | 2026-08-22 01:21 | 22:19、16:53 也有 2026-08-21 00:26 | 2026-08-20 00:08 | 2026-08-19 00:07 | 2026-08-17 00:33 | ...再看崩溃详情每次的错误偏移都是0x25409f一模一样同一个程序、同一个异常码、同一个偏移量 →每次都是同一个 bug而且是启动即崩。这说明每天凌晨有某个东西定时把它拉起来它一启动就崩。但它既不挂计划任务、又不挂服务——难道是幽灵再看目录时间戳线索来了BLE\ 创建于 2025-11-28 ← 电脑出厂初始化时就有 BLE\cuihua\ 修改于 2026-06-20 23:10 ← 程序更新了 BLE\download\ 修改于 2026-08-23 01:47 ← 今天凌晨还在下载东西破案方向瞬间清晰2025-11-28随系统预装出厂时间2026-06-20 23:10程序被自动更新到 v1.1.10.528更新之后才开始每天崩溃6 月 20 日之前的崩溃记录几乎没有崩溃前它还会先下载更新download 目录凌晨有活动结论它每天凌晨被某个惠普后台服务拉起先尝试下载更新然后启动即崩。至于那个幕后推手我查了 206 个计划任务、WMI 事件订阅全都没挂它——大概率是惠普某个常驻服务内置的定时逻辑藏得比较深但这已经不重要了。第四步看出生证明——数字签名反转来了前面所有迹象都指向国产流氓软件直到我查了它的数字签名Get-AuthenticodeSignature C:\Program Files (x86)\BLE\cuihua\BluetoothAdvertising\BluetoothAdvertising.exe结果签名状态: Valid 签名者: CNHP Inc., OHP Inc., LPalo Alto, SCalifornia, CUS Issuer: DigiCert Trusted G4 Code Signing这居然是惠普HP Inc.官方签发的程序证书链完整、时间戳有效不是伪造、不是被篡改。再回头翻已安装程序列表HP Connection Optimizer、HP Software Framework、HP Documentation……这台电脑就是惠普品牌机而这个蓝牙广播组件是出厂预装的官方组件被惠普的更新渠道在 6 月 20 日推了一个有 bug 的新版本。四、真相大白完整时间线2025-11-28 惠普出厂预装 BLE 蓝牙广播组件此时一切正常 │ 2026-06-20 23:10 惠普自动更新推送 v1.1.10.528 │ 2026-06-20 之后 更新引入 bug0x80131623 InvalidOperationException启动即崩 │ 每天凌晨 0:00~2:30 惠普后台服务定时拉起它 → 下载更新 → 启动 → 崩溃84次/半年回到最初的两个问题会死机吗单次崩溃本身不会——它是应用层 .NET 异常不是蓝屏没有BugCheckCode。但每天凌晨反复崩溃 下载折腾会占资源、触发系统错误处理是莫名其妙重启的重要嫌疑变量。真凶是谁惠普组件自身有 bug但每天凌晨崩溃和重启之间是否直接因果还需要配合查系统日志事件ID 41 (Kernel-Power)确认。无论如何先卸掉它排除一个变量是最优解。五、怎么处理方案做法适用① 更新修复装 HP Support Assistant等惠普推送修复版想保留惠普完整功能② 直接删除管理员权限删除C:\Program Files (x86)\BLE日常不用蓝牙信标广播大多数人适用③ 先观察查系统日志确认重启元凶再动手想稳妥排查注意目录在Program Files (x86)下普通权限删不动会报 Access denied需要管理员权限或弹 UAC 授权。六、方法论总结Windows 崩溃进程排查四板斧这次排查给了一个很标准的套路遇到陌生进程崩溃按这个顺序查查户口注册表卸载项 → 判断是正式安装还是绿色部署查行踪进程 / 服务 / 计划任务 / 自启动 → 判断它怎么被拉起查案发时间事件日志Application里的Event ID 1000应用崩溃1025.NET 异常→ 看崩溃频率和时间规律查出生证明Get-AuthenticodeSignature看数字签名 →这是最关键的一步能直接判断官方正品还是野鸡软件几条实用经验同一个错误偏移重复出现 同一个 bug 反复触发不是随机故障崩溃时间高度规律比如天天凌晨 有后台定时拉起机制不在常规计划任务里就往宿主常驻服务想程序目录下有download子目录 有自动更新能力崩溃前会先联网下载别急着下结论第三方路径 拼音目录名 ≠ 流氓软件签名一查可能反转删除前先确认签名万一是官方组件删了可能影响功能或被杀软误报后记这次排查最大的收获是——遇到可疑程序先查签名再开喷不然容易冤枉好人HP这锅我不背bug 我认。如果你的电脑也有这个弹窗大概率是惠普的锅去更新或删掉都行不用怕。