Windows 异常机制

最新推荐文章于 2022-05-09 01:48:16 发布
最新推荐文章于 2022-05-09 01:48:16 发布
阅读量762 收藏 2
点赞数
分类专栏： 基础知识
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Simon798/article/details/106374257
版权

异常的分类

（1）软件异常：由操作系统 / 应用程序 引发

用户：RaiseException -> RltRaiseException -> NtRaiseException -> KiRaiseException 
内核：RtlRaiseException -> NtRaiseException -> KiRaiseException

软件异常归根结底都是基于 RaiseException 这个用户态 API 和 NtRaiseException 的内核服务建立起来的。

void RaiseException(
	DWORD dwExceptionCode ,			// 异常状态码
	DWORD dwExceptionFlags,			// 异常标志（可持续 / 不可持续）
	DWORD nNumberofArguments,		// lpArguments[] 数组长度
	const DWORD* lpArguments		// 传递给异常处理程序的筛选表达式
);
// 具体作用就是将异常信息传递给 EXCEPTION_RECORD 这个结构，然后再调用 RtlRaiseException 函数
/*
	typedef struct _EXCEPTION_RECORD {
	  DWORD                     ExceptionCode;			// 异常状态码
	  DWORD                     ExceptionFlags;			// 异常标志
	  struct _EXCEPTION_RECORD  *ExceptionRecord;		// 指向下一个异常的指针
	  PVOID                     ExceptionAddress;		// 保存异常发生的地址
	  DWORD                     NumberParameters;		// ExceptionInformation[] 数组参数个数
	  ULONG_PTR                 ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];		// 异常描述信息
} EXCEPTION_RECORD;
*/

（2）硬件异常：由 CPU 引发

① 错误异常
处理错误异常时，操作系统首先保存当前环境（比如寄存器的值），然后调用相应的异常处理函数，如果异常处理成功则恢复现场环境继续执行。

② 陷阱异常
和错误异常不同，陷阱异常发生时会保存要执行的下一条指令的环境（而不是正在执行的指令的环境），调试器的断点就是基于陷阱异常实现的。

③ 终止异常
·主要用来处理严重的硬件错误，和上面的异常不同，这种异常不会恢复执行而是直接退出。

异常和中断的关系

中断可以再任何时候发生，和 CPU 正在执行什么指令无关，可以被取消。而异常是由于 CPU 执行了某条指令引起的，不能被取消。

异常的分发处理

异常产生时，CPU是通过IDT进入内核来寻找处理函数：
（1）内核可以处理这个异常
异常处理程序执行完后会恢复现场并继续执行，这个过程我们感知不到。
（2）内核不能处理这个异常
① 如果这个异常来自内核，蓝屏。
② 如果这个异常来自应用程序，则异常处理权转交给应用程序的异常处理函数。如果程序处理了异常则程序继续执行，如果没有处理这个异常则程序崩溃。

上面的 ② 有两种可能：应用程序被调试 / 没有被调试 ——

<1> 如果程序被调试，则异常处理权限转交给调试器（应用程序将调试信息包装成调试事件并发送给调试器，调试器使用 WaitForDebugEvent 获得该调试事件），调试器经过一系列操作后调用 ContinueDebugEvent 继续执行程序。如果调试器处理了这个异常则程序继续执行，如果没有处理则将异常处理权限转交给应用程序（也就是 <2> ）。

<2> 如果程序没有被调试，则将异常信息连同线程上下文环境送入程序的栈中，并调用 KiUserExceptionDisptcher （由 ntdll 导出，所有的异常分发都会走这个函数）但KiUserExceptionDisptcher 实际不执行什么功能，实际发挥作用的是 RtlExceptionDisptcher，之后如果 RtlExceptionDisptcher 返回成功则调用 ZwContinue 继续执行，否则调用 ZwRaiseException 结束进程（如果正在被调试的话就把异常再次抛给调试器）。

但是如果调试器还是没有处理这个异常呢？（是个狠人🙄）难道又要交给程序了吗（这样不就陷入一个死循环吗）？
但操作系统不傻，这时候操作系统会调用 ExceptionPort 通知 csrss.exe 弹出一个对话框：
在这里插入图片描述csrss.exe 是 Windows 子系统的灵魂，它监管着系统内运行着的所有Windows进程和线程，每个进程在创建后都要到它这里注册登记后方能运行，退出时也要到此报告注销。除了掌管着各个进程的“生死存亡”，CSRSS在桌面管理、终端登录、控制台管理、HardError报告、和DOS虚拟机等方面也起着重要作用。如果尝试强行杀死CSRSS进程，系统便会蓝屏。

RtlExceptionDisptcher 的具体工作如下：

首先遍历 VEH 链表，逐个执行异常处理器，一旦某个处理器处理成功则返回成功，线程继续运行。如果 VEH 链表遍历完毕异常仍然没有被处理则遍历 SEH 链表，再逐个执行 SEH 的异常处理器一旦某个处理器处理成功则返回成功，线程继续运行。
如果 VEH 和 SEH 都没有处理这个异常，则进程结束。

硬件异常会通过IDT去调用异常处理例程（一般为KiTrap系列函数）。
软件异常则是通过API的层层调用传递异常的信息。

但无论是硬件异常还是软件异常，最后都会走到 KiDispatchException：

VEH（向量化异常处理）

在每个进程的 ntdll.dll 中，有一张 VEH 链表，可以向其中添加一个节点来注册自己的异常处理器（通过调用 AddVectordExceptionHandler）：

PVOID AddVectoredExceptionHandler(
  ULONG                       First,		// 0则把处理器放在链表尾，否则把处理器放在链表头
  PVECTORED_EXCEPTION_HANDLER Handler		// 自己定义的异常处理函数指针
);
// 注意：Handler 是进程级的，也就是说进程内的所有异常都会调用 Handler 指向的函数。

SEH（结构化异常处理）

SEH是基于线程的一种处理机制，依赖于栈进行存储和查找，所以也被称作是基于栈帧的异常处理机制。（所以就是说它只能处理自己线程的异常，而不是像 VEH 那样可以影响整个进程）

SEH 其实姐可以理解为高级语言中的 __try{} __except(){}（或 try ， catch），它的作用就是构造一个 SEH 节点，并将该节点放入 SEH 链表头部。这个节点的结构如下：
在这里插入图片描述SEH 链表的表头指针永远都在 fs:[0] 这个位置。

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

UEF 和 VCH

在这里插入图片描述

TopLevelEH（顶级异常处理）

本质上也是 SEH，在最顶层的SEH中，可以注册一个顶层异常处理器（和 SEH 不同的是它可以影响所有的线程）。

当 SEH 链表中的异常处理器都处理不了某个异常，在最顶层的SEH中就会检查是否注册了顶层异常处理，如果注册了顶级异常处理器，就会给 SEH “最后一次处理异常的机会” ，把异常抛给 TopLevelEH（但如果程序被调试时就会忽略 TopLevelEH）。

所有异常的必经之路 KiDispatchException

（图片来自网络）
在这里插入图片描述

VOID KiDispatchException(
		IN PEXCEPTION_RECORD 	ExceptionRecord,		// 描述异常
		IN PKEXCEPTION_FRAME 	ExceptionFrame,			// 描述异常发生时的处理器状态，对于x86结构总是NULL
		IN PKTRAP_FRAME 	TrapFrame,					// 陷阱帧，异常发生时处理器自动记录的当前处理器的状态
		IN KPROCESSOR_MODE 	PreviousMode,				// 触发异常代码的执行模式是用户模式还是内核模式
		IN BOOLEAN 	FirstChance 						// 否是第一轮分发这个异常（对于一个异常，Windows系统会最多分发两轮）
)

/*
	typedef struct _EXCEPTION_RECORD {
	  DWORD                    ExceptionCode;			// 异常发生的原因
	  DWORD                    ExceptionFlags;			// 是否为连续异常
	  struct _EXCEPTION_RECORD *ExceptionRecord;		// 当发生嵌套异常时提供附加信息
	  PVOID                    ExceptionAddress;		// 异常发生的地址
	  DWORD                    NumberParameters;		// 与异常关联的参数数目（最后一个参数的数组长度）
	  ULONG_PTR                ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];		// 描述异常的附加参数数组
	} EXCEPTION_RECORD;
*/ 

/*
	typedef struct _KTRAP_FRAME
	{
	     ULONG DbgEbp;
	     ULONG DbgEip;
	     ULONG DbgArgMark;
	     ULONG DbgArgPointer;
	     WORD TempSegCs;
	     UCHAR Logging;
	     UCHAR Reserved;
	     ULONG TempEsp;
	     ULONG Dr0;
	     ULONG Dr1;
	     ULONG Dr2;
	     ULONG Dr3;
	     ULONG Dr6;
	     ULONG Dr7;
	     ULONG SegGs;
	     ULONG SegEs;
	     ULONG SegDs;
	     ULONG Edx;
	     ULONG Ecx;
	     ULONG Eax;
	     ULONG PreviousPreviousMode;
	     PEXCEPTION_REGISTRATION_RECORD ExceptionList;
	     ULONG SegFs;
	     ULONG Edi;
	     ULONG Esi;
	     ULONG Ebx;
	     ULONG Ebp;
	     ULONG ErrCode;
	     ULONG Eip;
	     ULONG SegCs;
	     ULONG EFlags;
	     ULONG HardwareEsp;
	     ULONG HardwareSegSs;
	     ULONG V86Es;
	     ULONG V86Ds;
	     ULONG V86Fs;
	     ULONG V86Gs;
	} KTRAP_FRAME, *PKTRAP_FRAME;
*/

分发过程：

1）将 TrapFrame 参数备份到 Context 结构中

2）判断是内核模式（0）还是应用模式（1）

3）判断是否是第一次调用

4）判断是否有内核调试器（有的话交给调试器）

5）调用 RtlDispatchException 处理异常

保存 FS:0（KPCR -> ExceptionList），它指向一个结构：

typedef struct _EXCEPTION_REGISTRATION_RECORD{
	struct _EXCEPTION_REGISTRATION_RECORD *Next;		// 指向下一个_EXCEPTION_REGISTRATION_RECORD
	PEXCEPTION_ROUTINE Handler;							// 异常处理函数
} EXCEPTION_REGISTRATION_RECORD;

RtlDispatchException 的作用就是遍历这个链表，查找对应的异常处理函数。

6）RtlDispatchException 成功则正常执行，失败则再次判断有没有内核调试器，有则通知内核调试器，没有则蓝屏

内核态的异常处理

内核模式则查 IDT 表找到对应的异常处理函数

用户态的异常处理

调用 DbgkForwardException（将异常信息包装后发送给 r3 ）：

  • 检擦调试端口（DebugPort）是否为空
  • 调用 DbgkSendApiMessage 将异常发送给 r3 调试器
  • 若 r3 无调试器或调试器处理不了此异常，则调用 KiUserExceptionDispatcher
    对于 KiUserExceptionDispatcher 而言，主要功能就是调用 RtIDispatchException 遍历 VEH 和 SEH，成功则调用 ZwContinue 进入 r0 ，失败则调用 ZwRaiseException 进行第二轮（最后一次机会）异常分发。

如果第二轮异常分发仍然失败，KidispatchException 就会终止当前线程。

(-: LYSM :-)
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
当出现UnhandledExceptionFilter时，如何用windbg 定位正确堆栈
Xxin_W的专栏
07-16 4601
某些情况下，当程序崩溃时异常没有被程序捕获，就会出现ntdll!KiUserExceptionDispatcher这种情况，这时就需要通过其他方式获取产生异常时的正确堆栈 下面为KiUserExceptionDispatcher 函数和一些相关函数写的伪代码。这个函数在NTDLL.DLL中，它是异常处理执行的起点 KiUserExceptionDispatcher( PEXCEPT
C#异常捕获机制图文详解
01-21
异常捕获机制 C# 1.示意图 2.异常捕获机制，代码： 3.异常捕获机制，结果： 4.求几周，剩余几天？代码： 5.结果： 6.求几月几周零几天 设一个月30天 代码： 7.结果： 您可能感兴趣的文章:C#程序异常关闭时的捕获C# WebApi 异常处理解决方案关于C#数强转会不会抛出异常详解C# 屏蔽由于崩溃弹出的windows异常弹框C#异常处理总结及简单实例IIS下调用证书出现异常的解决方法 (C#)
基于Windows的C++异常处理机制研究 (2010年)
06-12
首先从系统层面和编译层面分析了Windows和C++异常处理的基本原理，指出了基于 Windows的C++异常处理机制在使用过程中可能出现的逻辑错误，以及Windows运行时库中个别函数可能存在的此类安全隐患。为了更好地保证C++代码安全性和健壮性，综合上述研究提出了审计C++异常处理的方法和建议。
学习windows内核，保护模式、进程、线程、内存、APC、DPC、同步与异步、windows异常机制.zip
最新发布
04-20
windows 1. 要进行Python开发，首先需要Python解释器，这里说的安装Python就是安装Python解释器。 2. 能提供Python环境的产品有官网提供的Cpython，它是由C语言写的。还有PyPy及Jython等，Jython是基于java实现的Python环境，把Python代码编译为java字节码再执行。 3. 能提供Python环境的产品还有一个叫做Anaconda的发行版 Anaconda是对Python的集成，Anaconda据说自带了3000多个第三方包也是比较强大的存在了，但是本文讲解的是如何安装普通版本的Python。但是初学建议使用官方原生Python4. 建议使用“官方原生Python”的理由 （1）Python这门语言的优势之一，就是有成千上万的第三方Python包供用户调用，这意味着很多编程问题，无需自己从头开始编写程序，只需要用户安装并调用第三方包即可！ （2）对于编写复杂的具有工程性的Python程序，需要程序员自己编写自己Python包，因此，无论是学习Python包，还是学习创建Python包.
C++ 各种异常处理机制 演示代码
11-09
全面，详细的演示在 VS下使用C++标准异常处理机制和Windows的SEH异常处理机制的演示程序。
Win32 结构化异常处理（SEH）探秘
masefee C/C++游戏编程
11-16 4506
原著：Matt Pietrek翻译：VCKBASE译注：本文都翻译了一大半了，才发现网上已经有一篇董岩的译本（http://www.diybl.com/course/3_program/c++/cppsl/200866/122881.html），看完他的译文，感觉所有涉及关键技术的地方董岩翻译得非常到位，所以自己就没有再花时间往下译，本文后面的部分基本上都是采用了董岩的译文。此外，董岩在译
异常记录（CPU产生的异常和软件模拟产生的异常）
寻梦&之璐
02-17 852
前奏 当API函数3环进0环时，第一件事就是保存现场，保存到_Trap_Frame 异常的分类 CPU产生的异常 错误首先肯定被CPU先发现，然后CPU就会执行相应的错误处理程序 软件模拟产生的异常 throw 1 异常产生 CPU异常的产生 CPU指令检测到异常（例：除0）------>查IDT表，执行中断处理函数--------->CommonDispatchException------>KiDispatchException 在跳转CommonDispatchExcepti
EXCEPTION_RECORD structure
当蝴蝶在南半球拍了两下翅膀，它就会稍微飞高一些。
01-25 6248
Describes an exception.描述异常的结构体 Syntax C++ typedef struct _EXCEPTION_RECORD { DWORD                    ExceptionCode; DWORD                    ExceptionFlags; struct _EXCEPT
Windows对异常的处理
南宫封清的博客
11-06 528
异常处理 异常产生后，首先是要记录异常信息（异常的类型、异常发生的位置等），然后要寻找异常的处理函数，称为异常的分发,最后找到异常处理函数并调用，称为异常处理。 异常的分类 cpu产生的异常 执行指令时检测到的错误，除0，GP，无效指令 Machine Check Exceptions， 总线错误，ECC错误，Cache错误 预先埋伏的，int 3，调试异常 程序产生 RaiseException，Win32 API C++，throw Exception，编译器会翻译为对RaiseException
SEH结构体异常处理
qq_35426012的博客
10-24 692
SEH结构化异常 1FS段存有线程信息结构体TIB 2储异常信息的链表指针为TIB结构体的第一个成员 3通过dt _EXCEPTION_REGISTRATION_RECORD发现链表指针的结构 前4个字节：指向下一个异常处理结构体指针的位置，形成链表 后4个字节：指向一个异常回调函数 4异常回调函数 //异常回调函数声明 int _except_handler3( PEXCEPTION...
windows的异常处理
01-07
描述windows下的SEH异常处理机制。
漫谈兼容内核之二十六:Windows的结构化异常处理(三)
周寅的专栏
03-13 2964
  用户空间的异常机制是对于系统空间的异常机制的模拟。在内核中，并非所有的异常都是一来就进入“基于SEH框架(Frame-Based)”的异常处理， 而是先进入_KiTrap14()等等类似于向量中断的入口，在那里可以被拦截进行一些优先的处理，例如页面换入和对Copy-On-Write页面的处 理等等。这些处理是全局性质的，而不属于某个SEH域。这相当于是一层全局性的过滤。只有不属于这个层次的异常
windbg入门教程之异常报告深入解读
Keep Moving~
09-19 3933
软件异常 异常，顾名思义是指不符合预期的时间发生，由应用程序和操作系统抛出的异常叫做软件异常。 当然我们均不希望发生这些软件异常，但在实际中却常常会遇到因为不良编码导致的异常，比如访问了空指针、访问非法地址、解析json字符串异常等等。 异常处理 为了应对异常，window系统提供了一些API用于获取异常、处理或者控制异常， 为了理解后续的异常信息，我们先了解三个关于异常的API函数： GetE...
Windows异常处理核心原理（1）--- 理论篇
星空漫步者
12-28 1032
                           Windows异常处理核心原理理论篇 前言 这里简单说一下此篇文章应该怎么看，Windows下的异常处理相对来说不是很复杂，但是内容还是蛮多的。也因此呢这个文章也应该是一个系列的开头；在这一篇文章中，我会大概的讲述Windows下异常的处理流程，是一个大概的内容，更详尽的内容留在后面的章节慢慢来说。 理论篇篇幅应该较长，想要详细了解流程的...
初探windows异常处理
hongduilanjun的博客
05-09 932
windows系统里，为了保证系统内核的强壮和稳定，为了保证用户程序的强壮和稳定，提供了异常处理机制，来帮助程序员和系统使用人员处理异常。如果想要更加深入的掌握操作系统，异常处理的知识是必不可少的，不仅如此，软件调试也与异常处理息息相关。 异常执行流程 CPU检测到异常 -> 查中断表执行处理函数 -> CommonDispatchException -> KiDispatchException -> KiUserExceptionDispatcher -> Rtl
windows用户态程序排错——异常处理
anranjingsi的专栏
09-20 296
关于异常 1、C++标准异常： c++提供了一种异常的处理方法：try()catch(); 不知道小伙伴有没有这样的疑惑：1）为何我们要捕获异常？2）何时使用异常处理？3）异常处理会不会降低程序性能？4）如何处理异常呢？ 1）为何需要捕获异常？何时抛出异常？ 异常处理就是处理程序中的错误。 异常，通俗来说，对于被调用的函数，如果说因为调用者所引发的错误，且无法继续执行时，需要通知调用者，发生错误无法执行了；让上层的逻辑去处理它。 异常处理，对于程序来说，可以知道什么出错了？哪里出错了？以及为什
中断和异常
u012138730的专栏
05-10 2902
最近在看内存方面的知识，打算写一系列的博客分享记录一下。 本文介绍任务管理器里各个内存项的含义以及用一个例子也解释独占性。 目录 内存项含义 1.工作集Working Set(内存)=内存（专用工作集）+ 内存（共享工作集） 2.提交大小 Comitted Memory 内存的独占性 内存项含义 打开任务管理--详细信息---右键选择列，选择下面这4个。 1....
WINDOWS+PE权威指南读书笔记(16)
沐一 · 林 的博客
12-23 1057
加载配置信息 何谓加载配置信息： Windows 结构化异常处理： 什么是SEH： Windows 异常分类： 内核模式下的异常处理： 用户模式下的异常处理： Windows SEH 机制解析： SEH 编程实例： PE 中的加载配置信息： 加载配置信息定位： 加载配置目录 IMAGE_LOAD_CONFIG_DIRECTORY： 加载配置信息实例分析： 加载配置编程： 程序源代码分析： 为 PE 添加加载配置信息： 运行测试： 注册多个异常处理函数示例： 小
.net windows form 开发中，如何处理网络断开等网络异常？
06-13
可以使用.NET Framework中提供的异常处理机制（如try-catch语句）来捕获和处理网络异常。 4. 提供用户反馈。在网络异常发生时，可以向用户提供相应的反馈，让用户知道网络连接状态并采取相应的操作。可以使用...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值