當用戶異常產生后,內核函數KiDispatchException并不是像處理內核異常那樣在0環直接進行處理,而是修正3環EIP為KiUserExceptionDispatcher函數后就結束了。

這樣,當線程再次回到3環時,將會從KiUserExceptionDispatcher函數開始執行。

KiUserExceptionDispatcher會調用RtIDispatchException函數來查找并調用異常處理函數,查找的順序：

先查局鏈表: VEH

如果VEH沒找到，再查局部鏈表: SEH

3環fs[0]->TEB.+ 0x0 _NT_TIB
0環fs[0]->KPCR.+ 0x0 _NT_TIB
無論是3環還是0環它的第一個都是_EXCEPTION_REGISTRATION_RECORD 這個結構，這個結構最少要有兩個成員，可拓展后面再說。

//最原始的 SEH鏈表結構 typedef struct _EXCEPTION_REGISTRATION_RECORD { struct _EXCEPTION_REGISTRATION_RECORD* Next; //下一個節點，-1就是沒有下一個節點了PEXCEPTION_ROUTINE Handler; //指向異常處理函數 } EXCEPTION_REGISTRATION_RECORD;

SEH與VEH不同，VEH所有線程都能用的與線程無關，SEH哪個線程想用這個異常處理函數，就必須往自己的堆棧里壓入_EXCEPTION_REGISTRATION_RECORD這種結構（你壓入當前進程的A線程對B線程沒有影響的），然后讓fs[0]指向新構建的結構體，再給Handler提供異常處理函數。

獲取當前堆棧界限與起始位置，再回來

這一塊代碼都是檢測SEH鏈是否處于當將線程的堆棧中。

調用處理異常函數

測試代碼

//最原始的 SEH鏈表結構(這個結構怎么寫都行) struct _EXCEPTION {struct _EXCEPTION* Next;DWORD Handler; };EXCEPTION_DISPOSITION _cdecl MyEexception_handler (struct _EXCEPTION_RECORD *ExceptionRecord, //異常結構體PVOID EstablisherFrame, //SEH結構體地址struct _CONTEXT *ContextRecord, //存儲異常發生時的各種寄存器的值 棧位置等PVOID DispatcherContext ) {MessageBox(NULL,L"SEH異常處理函數執行了...",L"SEH異常",NULL);if (ExceptionRecord->ExceptionCode == 0xC0000094){ContextRecord->Eip = ContextRecord->Eip + 2;ContextRecord->Ecx = 100;return ExceptionContinueExecution;}return ExceptionContinueSearch; }int main() {DWORD temp;_EXCEPTION Exception;//必須在當前線程堆棧的堆棧中//fs[0]-> Exception_asm{mov eax, fs:[0]mov temp,eaxlea ecx,Exceptionmov fs:[0],ecx}//為SEH成員賦值Exception.Next = (_EXCEPTION*)temp;Exception.Handler = (DWORD)&MyEexception_handler;//創建異常int val = 0;_asm{xor edx,edxxor ecx,ecxmov eax,1idiv ecx //edx = eax /ecxmov val,ecx}//摘除剛插入的SEH_asm{mov eax, tempmov fs:[0],eax}printf("val = %d",val);getchar(); }

總結: SEH異常的處理流程

FS:[0]指向SEH鏈表的第一個成員

SEH的異常處理函數必須在當前線程的堆棧中

只有當VEH中的異常處理函數不存在或者不處理才會到SEH鏈表中查找

總結

以上是生活随笔為你收集整理的5.SEH（结构化异常处理）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。