内核层异常的收集与处理

Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html

内核层异常的收集与处理

　　前面我们分析过，存在两种异常，CPU异常与用户模拟异常，其异常触发时收集的线路是不同的，但是其最终走经过KiDispatchException函数。

　　当走到KiDispatchException，CPU异常与用户模拟异常唯一的区别是CPU异常最高位置1（nt!KiRaiseException异常派发时的上一行代码），其余记录的都是一样的。

　　而KiDispatchException的处理是按照其先前模式来处理的，也就是内核异常与用户异常两种，而不是按照CPU异常与用户模拟异常来进行处理。

 

1.内核层异常的派发（Nt!KiDispatchException函数分析）

　　这部分我们先看内核异常的处理流程，至于用户模式，其因为要返回三环执行，稍微复杂，等其分析完成之后再来一起进行汇总处理。

　　如下图，我们截取一部分，其核心的执行流程为：

　　① 如果存在内核调试器则调用内核调试器；

　　② 如果不存在或者不成功，调用RtlDispatchException调用内核的SEH异常来进行处理；

　　③ 如果RtlDispatchException不成功，则再次尝试判断内核调试器；

　　④ 如果上面某一步成功，则直接返回正常退出；

　　⑤ 否则调用KeBugCheckEx触发蓝屏。

　　

 

2.内核层异常的处理（Nt!RtlDispatchException函数分析）

　　该函数是处理内核异常的核心函数，如果没有内核调试器，则就使用这个函数来进行分析，其操作如下所示：

　　其中，我们在分析前必须要有几个重要的数据结构：

　　1）异常的标志位 flag

　　　　#define EXCEPTION_NONCONTINUABLE 0x1    // Noncontinuable exception
　　　　#define EXCEPTION_UNWINDING 0x2         // Unwind is in progress
　　　　#define EXCEPTION_EXIT_UNWIND 0x4       // Exit unwind is in progress
　　　　#define EXCEPTION_STACK_INVALID 0x8     // Stack out of limits or unaligned
　　　　#define EXCEPTION_NESTED_CALL 0x10      // Nested exception handler call
　　　　#define EXCEPTION_TARGET_UNWIND 0x20    // Target unwind in progress
　　　　#define EXCEPTION_COLLIDED_UNWIND 0x40  // Collided exception handler call

　　2）异常结果的返回值

　　　　　　enum _EXCEPTION_DISPOSITION {
　　　　　　　　ExceptionContinueExecution = 0,  // 异常处理成功
　　　　　　　　ExceptionContinueSearch = 1, 　　　// 异常没有处理，继续寻找
　　　　　　　　ExceptionNestedException = 2, 　　// 二次异常，存在嵌套异常
　　　　　　　　ExceptionCollidedUnwind = 3 　　// 发生嵌套的展开
　　　　　　};

　　　　注意：如果是SEH扩展的异常，我们使用这个，因为其使用SEH拓展结构，需要进行异常展开的操作，这些对程序员是不可见的。

　　　　平时我们再手动写SEH异常，不需要操心异常的展开等额外操作，所以使用下面的结构：

　　　　　#define EXCEPTION_EXECUTE_HANDLER      1 　　　　// 异常被识别，_except模块中处理该异常
　　　　　#define EXCEPTION_CONTINUE_SEARCH      0　　　　// 异常未被识别，继续调用下一个Handler来处理异常
　　　　　#define EXCEPTION_CONTINUE_EXECUTION (-1)　　　// 异常已被忽略或修复，不继续往下寻找

　　该函数的核心操作如下：

　　① 通过KPCR获取异常链；

　　② 取出一个异常处理结点，ExceptionRegistrationRecord(next,handler)；

　　③ 通过全局变量判断是否需要异常记录；

　　④ 执行对应的handler函数，获取返回结果；

　　⑤ 如果返回为 ExceptionContinueExecution并且eflags的EXCEPTION_NONCONTINUABLE位为0，则返回成功；

　　⑥ 否则继续找下一个，处理失败，或者引发二次异常。

　　　

 

3.总结

　　这里我们只是简单分析了一下内核层的SEH异常的大体流程，其中我们会发现二次异常的嵌套以及展开UnWind等操作，这里可能会让你感到头晕，

　　没关系，我们在分析用户异常时会详细解释其编译器对于SEH异常的拓展，之后我们会讲解局部展开与全局展开等骚操作，之后你再看这里就能很好理解了。