24.1 SetUnhandledExceptionFilter未处理异常--《Windows核心编程》

对于未处理异常，例如异常过滤返回EXCEPTION_CONTINUE_SEARCH，向上搜索，但无法搜索到处理部分，产生未处理异常。Windows提供了 SetUnhandledExceptionFilter 函数，给我们处理异常的最后机会，否则 Windows 会正式认为这个异常没有得到处理。

默认情况下，如果没有设置 SetUnhandledExceptionFilter 函数，对于未处理异常，会调用操作系统的默认异常处理代码 UnhandledExceptionHandler。

通常应该在进程初始化阶段调用这个函数，一旦调用，进程中所有线程的未抛出异常都会导致 SetUnhandledExceptionFilter 参数所指定的的异常过滤函数的执行。

// 负责处理未处理异常
// 进程初始化时，设置处理未处理异常过滤函数
PTOP_LEVEL_EXCEPTION_FILTER SetUnhandledExceptionFilter(
PTOP_LEVEL_EXCEPTION_FILTER pTopLevelExceptionFilter
);

参数是一个异常过虑函数，原型必须与下面类似

// 返回值和结果
// EXCEPTION_EXECUTE_HANDLER 进程终止
// EXCEPTION_CONTINUE_EXECUTION 从抛出异常处再执行
// EXCEPTION_CONTINUE_SEARCH 不处理
LONG WINAPI TopLevelUnhandledExceptionFilter(
PEXCEPTION_POINTERS pExceptionInfo
);

C/C++运行函数安装的默认的全局异常过滤程序： __CxxUnhandledExceptionFilter，用 NULL 调用 SetUnhandledExceptionFilter 将全局未处理异常过滤程序设回 UnhandledExceptionFilter

#include <windows.h>
#include <stdio.h>

long   __stdcall   callback(_EXCEPTION_POINTERS*   excp)
{
	MessageBox(0, "Error", "error", MB_OK);

	printf("Error   address   %x\n", excp->ExceptionRecord->ExceptionAddress);
	printf("CPU   register:\n");
	printf("eax   %x   ebx   %x   ecx   %x   edx   %x\n", excp->ContextRecord->Eax,
		excp->ContextRecord->Ebx, excp->ContextRecord->Ecx,
		excp->ContextRecord->Edx);

	return   EXCEPTION_EXECUTE_HANDLER;	// 进程终止
}

int   main(int   argc, char*   argv[])
{
	PTOP_LEVEL_EXCEPTION_FILTER pException = SetUnhandledExceptionFilter(callback);
	_asm   int   3   // 只是为了让程序崩溃
	return   0;
}

---

我们都知道，每个线程的执行都是从 NTDLL.dll 中的函数 BaseThreadStart 开始的：

VOID BaseThreadStart(
	PTHREAD_START_ROUTINE pfnStartAddr,
	PVOID pvParam
)
{
	__try
	{
		ExitThread((pfnStartAddr)(pvParam));
	}
	__except (UnhandledExceptionFilter(GetExceptionInformation()))
	{
		ExitProcess(GetExceptionCode());
	}
}

// 上述UnhandledExceptionFilter的返回值和结果
// EXCEPTION_EXECUTE_HANDLER 执行ExitProcess，进程退出
// EXCEPTION_CONTINUE_EXECUTION 从抛出异常处再次执行
// EXCEPTION_CONTINUE_SEARCH 未处理异常

// 上述UnhandledExceptionFilter的返回值和结果
// EXCEPTION_EXECUTE_HANDLER 执行ExitProcess，进程退出
// EXCEPTION_CONTINUE_EXECUTION 从抛出异常处再次执行
// EXCEPTION_CONTINUE_SEARCH 未处理异常

如果我们的线程抛出一个异常，并且所有安装的异常过滤程序都返回 EXCEPTION_CONTINUE_SEARCH，系统提供的一个特殊函数 UnhandledExceptionFilter 将会被调用。

本书讨论的是用户态的开发。对内核态线程抛出未处理异常，在蓝屏前，系统让相关设备驱动调用 CrashDmp.sys在页文件中建立 Crash Dump，再停止所有操作。重启后，会查看页文件是否包含了一个 Crash Dump，如果有表示数据得到了存储 ，系统让WerFault运行，产生错误报告，并发送给Microsoft服务器。