通过windbg定位错过第一现场的崩溃

最新推荐文章于 2025-10-10 16:48:39 发布

原创最新推荐文章于 2025-10-10 16:48:39 发布 · 848 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#windbg

本文介绍如何在Windows程序崩溃时，利用windbg避开默认异常处理，通过追踪线程历史调用栈定位异常点，以便有效分析dump。

文章目录

说明
原因
方法
最后

说明

所谓的“错误第一现场”，是指当我们的windows程序出现崩溃时，会弹出一个错误框，这时候如果再使用windbg分析dump是无法快速找到异常点的。

原因

由于windows的KiDispatchException的异常分发机制，如果程序没有设置任何异常包含，最后程序会调用windows的默认异常处理函数—创建一个异常dialog。这时候程序的异常现场会被默认异常处理给冲刷掉，所以当你使用".ecxr" 命令时是无法找到异常点的。

方法

方法其实也和很简单，就是通过变量所有线程的历史调用栈，找到KiDispatchException函数的参数就可以了。

首先打开windbg的日志功能，把输出写入文件，搜索快速
加载windows的pdb文件，否则无法执行命令
执行命令，打印所有线程历史调用栈

~*er?$t1=((ntdll!_NT_TIB*)@$teb)->StackLimit;r?$t2=((ntdll!_NT_TIB*)@$teb)->StackBase;!teb;dps@$t1@$t2

查找KiUserExceptionDispatcher

044bed64  044ba000
044bed68  00000000
044bed6c  044bf288
044bed70  77a70133 ntdll!KiUserExceptionDispatcher+0xf
044bed74  014bed84
044bed78  **044bedd4**   /// 这个地址就是异常上下文地址
044bed7c  044bed84
044bed80  044bedd4
044bed84  e06d7363
044bed88  00000001
044bed8c  00000000
044bed90  769cc42d KERNELBASE!RaiseException+0x58