lsass.exe错误导致服务器一直重启时，首先要切断病毒传播源，进入安全模式执行杀毒和系统修复，若无效再通过注册表或恢复控制台处置，切勿在正常模式下反复重启。
服务器lsass.exe错误一直重启的常见成因与快速判断
lsass.exe全称Local Security Authority Subsystem Service，负责Windows系统的本地安全策略、用户登录验证和权限管理，这个关键进程一旦异常退出，系统会自动执行强制重启策略，表现为登录页都还没出现,服务器就反复重启。
导致lsass.exe崩溃的三大类原因
- 病毒或恶意程序感染：最典型的是震荡波（Sasser）系列蠕虫，利用Windows LSASS漏洞扫描局域网内其他主机，导致进程崩溃，这类病毒在老旧系统上传播极快,常伴有系统资源骤升和网络异常。
- 系统文件损坏或注册表键值错误：不正常断电、强制关机、磁盘坏道都可能破坏lsass.exe相关文件，如
C:WindowsSystem32lsass.exe本身，或注册表中HKLMSYSTEMCurrentControlSetControlLsa的分支项。 - 内存硬件故障或驱动冲突：物理内存存在寻址错误、非官方安全软件注入钩子，甚至部分服务器管理软件（如网管软件、安全狗内核驱动）与LSA机制冲突,都会触发崩溃。
快速判断属于哪种情况的实操方法
- 观察重启节奏：如果服务器开机后20至30秒内必然重启，且没有出现登录界面,病毒可能性最大。
- 看蓝屏错误码：重启前的蓝屏上显示
0xC000021A（STATUS_SYSTEM_PROCESS_TERMINATED），代表lsass.exe异常终止登录进程。 - 抓取内存转储文件来比对：进入
C:WindowsMinidump目录，把最近一个.dmp文件用WinDbg打开，查看崩溃时加载的模块路径,能看出是否为第三方驱动干扰。
服务器lsass.exe报错重启的修复实操步骤
处理这类故障的核心思路是：先隔离（断网或拔网线），再清理（查毒和修复系统文件），后加固（打补丁和调整策略）。
第一步：使用最后一次正确配置或安全模式
服务器重启时按下F8键，选择“最后一次正确的配置（高级）”，这能恢复最近一次正常工作的注册表信息，对误改导致的崩溃有一定概率直接解决，如果无效，则选择“带网络连接的安全模式”，安全模式下，lsass.exe仍会被加载，但系统只加载最小驱动和服务，若进安全模式正常不重启，基本排除硬件故障,问题锁定在第三方服务或驱动程序上。
第二步：查杀震荡波类病毒并修复系统文件（含相关命令）
进入带网络连接的安全模式后,立刻执行以下操作：
- 打开命令提示符（管理员），输入
tasklist /m lsass.exe，查看lsass进程已加载的模块列表，如果出现奇怪的DLL路径（不在System32目录下）,说明已被注入。 - 运行
sfc /scannow，系统会校验并替换损坏的lsass.exe及其他关键系统文件，据统计，此命令能解决约半数单纯文件损坏引发的重启问题。 - 使用Windows Defender脱机版或Sysinternals Suite中的Autoruns工具，全面扫描启动项和服务，找到可疑映像路径后,先禁用再删除。
- 打上MS04-011安全补丁（震荡波补丁），以及最新的Windows Server累计更新,补丁是根治此漏洞类重启的唯一手段。
切忌在正常模式下边联网边杀毒，此举很可能让服务器感染范围扩大，甚至殃及局域网内的其他机器，业内专家指出，处理此类应急事件时，断网是第一优先级,其次才是杀毒修复。
第三步：修复LSA相关注册表键值
如果确认没有病毒，系统文件也完好，则需要手工核对注册表，特别检查以下两个位置，用regedit打开,对比权限和键值：
| 键值路径 | 预期值 | 异常情况说明 |
|---|---|---|
HKLMSYSTEMCurrentControlSetControlLsaDisableDomainCreds |
0 | 设置为1会导致某些身份验证流程异常 |
HKLMSYSTEMCurrentControlSetServicesNTDSParameters |
无异常数据 |
若出现多余项，先导出备份再删除 |
HKLMSECURITYPolicySecrets | SYSTEM完全控制 | 权限被篡改后lsass无法读取密码哈希 |
第四步：通过安装介质进入恢复环境执行修复
当服务器完全无法进入系统，连安全模式都重启时，需要挂载原版系统镜像启动，在“修复计算机”选项中选择“命令行提示符”,输入以下命令进行深度修复：
dism /image:C: /source:D:sourcesinstall.wim /limitaccess /restorehealth bcdedit /enum
- 第一行命令用安装介质里的源文件修复Windows映像,这里的盘符需按实际盘符调整。
- 第二行命令检查启动配置数据（BCD），若发现
{default}中的recoveryenabled为No，需要执行bcdedit /set {default} recoveryenabled yes,确保下次崩溃能生成转储日志。
防止服务器lsass.exe崩溃重启的日常运维策略
修复只是治标，日常的维护策略才能防患于未然，行业共识认为，90%的lsass崩溃重启都源于补丁滞后和未经测试的第三方安全软件内核冲突。
给服务器打补丁的正确频率和窗口
- 将补丁更新日设定为每月第二个星期二（微软Patch Tuesday）之后的周末。
- 域控服务器（AD DC）与普通文件服务器的补丁策略分开，先更新非关键业务机器,观察3天再推向核心业务。
- 安装补丁前，检查补丁是否涉及
lsasrv.dll或sspicli.dll，这是lsass的关键依赖库,若有说明本机重启概率较高。
第三方安全软件的选择与排除配置
- 避免在同一台服务器上安装两套以上带内核级驱动的安全软件,它们之间的冲突可能直接导致LSA进程挂起。
- 使用Process Monitor设置开机过滤，监测lsass.exe的
CreateFile和RegSetValue操作,能提前发现哪些软件在修改认证相关文件。 - 如果使用云服务器，可在安全组规则中限制3389、445等端口的来源IP，即使lsass被攻击导致崩溃,也无法影响其他机器。
建立崩溃后的自动响应机制
Windows Server内置的“服务器恢复”功能虽不直接修复lsass,但可以配置以下任务：
- 在任务计划程序中设置触发器：事件ID为
1000（应用程序错误）且来源为“Application Error”，操作是执行shutdown /a（中止系统关机），这能在lsass崩溃的十几秒窗口内阻止重启,留出抢救时间。 - 配置核心转储：右键“此电脑”→“属性”→“高级系统设置”→“启动和故障恢复”→将“写入调试信息”设置为“自动内存转储”，同时确保系统盘剩余空间大于2GB或物理内存大小。
常见问题解答（Q&A）
服务器lsass.exe错误一直重启，重装系统是否是最快解决办法？
对于单机非虚拟化且无数据写入的服务器，重装系统可能只需要1到2小时，而排查和修复可能在半天以上，重装确实高效，但若是域控或数据库服务器，重装会丢失AD用户对象、组策略和数据库事务日志，恢复业务的时间反而更长，决策前先用PE系统将C盘和数据库所在盘做成VHD镜像或完整备份,评估宕机成本后再定。
lsass.exe占用CPU过高是否同一种故障？
不同，lsass崩溃是进程消失导致重启，占用CPU过高则通常是密码枚举攻击（如域内爆破）或LSASS缓存了过多凭据，处理方式为：使用runas /user:domainadmin cmd打开提权命令行，键入sekurlsa::logonpasswords查看是否有异常交互式登录，并临时停用NTLM认证（本地安全策略→安全选项→网络安全：限制NTLM）。
用WinDbg分析lsass内存转储文件有哪些排查窍门？
首先确保安装了正确的符号路径，环境变量_NT_SYMBOL_PATH设为srvc:symbolshttps://msdl.microsoft.com/download/symbols，打开转储文件后执行!analyze -v，重点看PROCESS_NAME和STACK_TEXT两栏，若栈顶显示ntdll!NtWaitForSingleObject后紧跟msv1_0.dll，说明认证包响应超时，排查网络延迟或DNS解析，若栈中包含ntfs.sys相关字样,则优先检查磁盘坏道和磁盘驱动程序版本。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/593300.html
