Windows异常分发

标签：

当有异常发生时，CPU会通过IDT表找到异常处理函数，即内核中的KiTrapXX系列函数，然后转去执行。但是，KiTrapXX函数通常只是对异常做简单的表征和描述，为了支持调试和软件自己定义的异常处理函数，系统需要将异常分发给调试器或应用程序的处理函数。

为了更好的管理异常，Windows系统定义了专门的数据结构EXCEPTION_RECORD来描述异常。

typedef struct _EXCEPTION_RECORD {
  DWORD                    ExceptionCode;
  DWORD                    ExceptionFlags;
  struct _EXCEPTION_RECORD  *ExceptionRecord;
  PVOID                    ExceptionAddress;
  DWORD                    NumberParameters;
  ULONG_PTR                ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD, *PEXCEPTION_RECORD;

ExceptionCode：异常代码，32位整数。

ExceptionFlags：用来记录异常标志，它的每一位代表一种标志。

ExceptionRecord：用来指向与该异常有关的另一个异常记录。

ExceptionAddress;用来记录异常地址，错误类异常与陷阱类异常会有区别。

NumberParameters：附加参数个数，即ExceptionInformation数组的有效个数。

登记CPU异常

对于CPU异常，KiTrapXX例程在完成针对本异常的特别动作后，通常会调用CommonDispatchException函数，它会在栈中分配一个EXCEPTION_RECORD结构，并把异常信息存储到该结构中。在准备好这个结构后，它会调用内核中的KiDispatchExcption函数来分发异常。

登录软件异常 

简单来捉，软件异常是通过直接或间接调用内核服务KiRaiseException而产生的。函数内部会把Context上下背景文复制到当前线程的内核栈，接下来调用KiDispatchExcption函数来进行分发。 

综上所述，不管什么异常最后都会调用内核中的KiDispatchExcption函数进行分发，也就是说Windows用统一的方式来管理异常。

VOID
KiDispatchException (
    IN PEXCEPTION_RECORD ExceptionRecord,
    IN PKEXCEPTION_FRAME ExceptionFrame,
    IN PKTRAP_FRAME TrapFrame,
    IN KPROCESSOR_MODE PreviousMode,
    IN BOOLEAN FirstChance
    )

ExceptionRecord：用来描述要分发的异常。

ExceptionFrame：指向的KTRAP_FRAME结构，用来描述异常发生时的处理器状态，包括各种通用寄存器、调试寄存器、段寄存器等。

PreviousMode：枚举，用来表示前一种状态是内核模式还是用户模式。

FirstChance：表示第几轮分发。

下面先来看看KiDispatchException 分发示意图。

从图中我们可以看到，KiDispatchException会先调用KeContextFromKframes函数，目的是根据TrapFrame参数指向的KTRAP_FRAME结构产生一个CONTEXT结构，以供向调试器和异常处理器函数报告异常时使用。

接下来会根据模式是内核模式还是用户模式进行分发。下面具体说明。

内核态异常的分发过程

对于第一轮异常KiDispatchException会试图先通知内核调试器来处理异常，如果没有处理异常，那么会调用RtlDispatchExcption，试图寻找已经注册的结构化异常处理器（SEH）。

如果也没有找到，那么就会给内核调试器第二次处理的机会。仍然返回FLASE的话，就会调用KeBugCheckEx触发蓝屏。

用户态异常的分发过程

首先，KiDispatchException会判断是否发送给内核调试器，但内核调试器通常不处理用户态异常，所以KiDispatchException会试图发送给用户态调试器，方法是调用DbgkForwardException。如果不成功，KiDispatchException下一步动作是试图寻找异常处理块来处理该异常，因为用户异常发生在用户态代码中，异常处理块也是在用户态代码中。所以需要转到用户态去执行。（这也就是相对于内核态异常的分发过程，用户态异常的分发过程会麻烦一点的原因，具体方式不再累赘，参考《软件调试》）如果最终也返回FALSE，那么就会分发第二轮。

Windows异常分发

标签：

原文地址：http://www.cnblogs.com/zibility/p/5689939.html