WinDbg 查找问题异常堆栈，堆栈跟踪UnhandledExceptionFilter
2010-04-23 16:49
525 查看
UnhandledExceptionFilter 函数调用时没有异常处理程序定义来处理引发的异常。 函数通常将异常传递达 Ntdll.dll 文件这将捕捉并试图处理它。
在该进程的内存快照存在某些情况下，您可以看到到一个线程持有锁点的线程调用的 UnhandledExceptionFilter 函数。 在这些情况中您可以按照本文标识导致异常的 DLL 中的步骤。
Microsoft 调试工具
http://www.microsoft.com/whdc/devtools/ddk/default.mspx (http://www.microsoft.com/whdc/devtools/ddk/default.mspx)
转到windbg目录，采用工具cdb生成dump文件：cdb -pv -pn 进程名 -c ".dump /m c:/文件名.dmp;q"，例如：cdb -pv -pn explorer.exe -c ".dump /m c:/explorer.dmp;q"
打开该调试器的安装位置文件夹，然后双击 Windbg.exe 以启动调试器。
在 文件 菜单上单击 打开故障转储 （或按 CTRL + D），然后选择您要查看该转储文件。
' 异常堆栈使用 Windbg.exe
在 Windbg.exe，打开.dmp 文件，该进程。
请确保以正确的位置指向符号路径。 有关如何执行此操作的详细信息请访问下面的 Microsoft 网站：
如何获取符号
http://www.microsoft.com/whdc/devtools/ddk/default.mspx (http://www.microsoft.com/whdc/devtools/ddk/default.mspx)
在命令提示符处键入 ~*kb 要列出所有进程中线程。
标识进行函数调用的线程 Kernel32! UnhandledExceptionFilter。 它看起来类似于以下内容：
切换到该线程 （在此示例中，线程是"~ 120s"）。
显示内存内容的第一个参数指定位置处 Kernel32! UnhandledExceptionFilter 通过使用 dd 第一个参数。 这指向 EXCEPTION_POINTERS 结构
第一个 dword 值表示异常记录。 若要获取有关异常的类型的信息，请在命令提示符处运行以下：
.exr first DWORD from step 6
第二个 dword 值是上下文记录。 要获取的上下文信息，请在命令提示符处运行以下：
.cxr second DWORD from step 6
运行 kv 命令以获得实际的异常的调用堆栈。 这可以帮助您识别可能不具有被正确处理过程中的实际问题
struct _EXCEPTION_RECORD *ExceptionRecord,
void * EstablisherFrame,
struct _CONTEXT *ContextRecord,
void * DispatcherContext);
这个函数的第一个参数是一个指向 EXCEPTION_RECORD 结构的指针。这个结构在WINNT.H中定义，如下所示：
typedef struct _EXCEPTION_RECORD {
DWORD ExceptionCode;
DWORD ExceptionFlags;
struct _EXCEPTION_RECORD *ExceptionRecord;
PVOID ExceptionAddress;
DWORD NumberParameters;
DWORD ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;
_except_handler 函数的第二个参数是一个指向establisher帧结构的指针。
_except_handler 回调函数的第三个参数是一个指向 CONTEXT 结构的指针。
typedef struct _CONTEXT
{
DWORD ContextFlags;
DWORD Dr0;
DWORD Dr1;
DWORD Dr2;
DWORD Dr3;
DWORD Dr6;
DWORD Dr7;
FLOATING_SAVE_AREA FloatSave;
DWORD SegGs;
DWORD SegFs;
DWORD SegEs;
DWORD SegDs;
DWORD Edi;
DWORD Esi;
DWORD Ebx;
DWORD Edx;
DWORD Ecx;
DWORD Eax;
DWORD Ebp;
DWORD Eip;
DWORD SegCs;
DWORD EFlags;
DWORD Esp;
DWORD SegSs;
} CONTEXT;
_except_handler 回调函数的第四个参数被称为DispatcherContext。
分析dump文件时，在命令提示符处键入 ~*kb 要列出所有进程中线程。
标识进行函数调用的线程 Kernel32!_except_handler。 它看起来类似于以下内容：
切换到该线程 （在此示例中，线程是"~ 9s"）。
Kernel32! !_except_handler第一个参数 dword 值表示异常记录。 若要获取有关异常的类型的信息，请在命令提示符处运行以下： .exr first DWORD from step 5
Kernel32! !_except_handler第三个参数 dword 值是上下文记录。 要获取的上下文信息，请在命令提示符处运行以下：
.cxr second DWORD from step 6
运行 kv 命令以获得实际的异常的调用堆栈。 这可以帮助您识别可能不具有被正确处理过程中的实际问题
在该进程的内存快照存在某些情况下，您可以看到到一个线程持有锁点的线程调用的 UnhandledExceptionFilter 函数。 在这些情况中您可以按照本文标识导致异常的 DLL 中的步骤。
Windbg.exe 打开转储文件
下载并安装调试程序。 要下载调试程序，请访问下面的 Microsoft 网站：Microsoft 调试工具
http://www.microsoft.com/whdc/devtools/ddk/default.mspx (http://www.microsoft.com/whdc/devtools/ddk/default.mspx)
转到windbg目录，采用工具cdb生成dump文件：cdb -pv -pn 进程名 -c ".dump /m c:/文件名.dmp;q"，例如：cdb -pv -pn explorer.exe -c ".dump /m c:/explorer.dmp;q"
打开该调试器的安装位置文件夹，然后双击 Windbg.exe 以启动调试器。
在 文件 菜单上单击 打开故障转储 （或按 CTRL + D），然后选择您要查看该转储文件。
' 异常堆栈使用 Windbg.exe
在 Windbg.exe，打开.dmp 文件，该进程。
请确保以正确的位置指向符号路径。 有关如何执行此操作的详细信息请访问下面的 Microsoft 网站：
如何获取符号
http://www.microsoft.com/whdc/devtools/ddk/default.mspx (http://www.microsoft.com/whdc/devtools/ddk/default.mspx)
在命令提示符处键入 ~*kb 要列出所有进程中线程。
标识进行函数调用的线程 Kernel32! UnhandledExceptionFilter。 它看起来类似于以下内容：
120 id: f0f0f0f0.a1c Suspend: 1 Teb 7ff72000 Unfrozen ChildEBP RetAddr Args to Child 09a8f334 77eb9b46 0000244c 00000001 00000000 ntdll!ZwWaitForSingleObject+0xb [i386/usrstubs.asm @ 2004] 09a8f644 77ea7e7a 09a8f66c 77e861ae 09a8f674 KERNEL32!UnhandledExceptionFilter+0x2b5 [D:/nt/private/windows/base/client/thread.c @ 1753] 09a8ffec 00000000 787bf0b8 0216fe94 00000000 KERNEL32!BaseThreadStart+0x65 [D:/nt/private/windows/base/client/support.c @ 453]
切换到该线程 （在此示例中，线程是"~ 120s"）。
显示内存内容的第一个参数指定位置处 Kernel32! UnhandledExceptionFilter 通过使用 dd 第一个参数。 这指向 EXCEPTION_POINTERS 结构
0:120> dd 09a8f66c 09a8f66c 09a8f738 09a8f754 09a8f698 77f8f45c 09a8f67c 09a8f738 09a8ffdc 09a8f754 09a8f710 09a8f68c 09a8ffdc 77f8f5b5 09a8ffdc 09a8f720 09a8f69c 77f8f3fa 09a8f738 09a8ffdc 09a8f754 09a8f6ac 09a8f710 77e8615b 09a8fad4 00000000 09a8f6bc 09a8f738 74a25336 09a8f6e0 09a8f910 09a8f6cc 01dc8ad8 0d788918 00000001 018d1f28 09a8f6dc 00000001 61746164 7073612e 09a8f71c
第一个 dword 值表示异常记录。 若要获取有关异常的类型的信息，请在命令提示符处运行以下：
.exr first DWORD from step 6
0:120> .exr 09a8f738 ExceptionAddress: 78011f32 (MSVCRT!strnicmp+0x00000092) ExceptionCode: c0000005 ExceptionFlags: 00000000 NumberParameters: 2 Parameter[0]: 00000000 Parameter[1]: 00000000 Attempt to read from address 00000000
第二个 dword 值是上下文记录。 要获取的上下文信息，请在命令提示符处运行以下：
.cxr second DWORD from step 6
0:120> .cxr 09a8f754 eax=027470ff ebx=7803cb28 ecx=00000000 edx=00000000 esi=00000000 edi=09a8fad4 eip=78011f32 esp=09a8fa20 ebp=09a8fa2c iopl=0 nv up ei ng nz na po nc cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010286 MSVCRT!strnicmp+92: 78011f32 8a06 mov al,[esi]
运行 kv 命令以获得实际的异常的调用堆栈。 这可以帮助您识别可能不具有被正确处理过程中的实际问题
0:120> kv ChildEBP RetAddr Args to Child WARNING: Stack unwind information not available. Following frames may be wrong. 09a8fa2c 780119ab 09a8fad4 00000000 09a8faa8 MSVCRT!strnicmp+0x92 09a8fa40 7801197c 09a8fad4 00000000 6d7044fd MSVCRT!stricmp+0x3c 09a8fa80 6e5a6ef6 09a8fad4 2193d68d 00e5e298 MSVCRT!stricmp+0xd 09a8fa94 6d7043bf 09a8fad4 09a8faa8 0000001c IisRTL!CLKRHashTable::FindKey+0x59 (FPO: [2,0,1]) 09a8faac 749fc22d 09a8fad4 01d553b0 0000001c ISATQ!CDirMonitor::FindEntry+0x1e (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/infocomm/atq/dirmon.cpp @ 884] 09a8fac4 749fd1cb 09a8fad4 09a8fb10 525c3a46 asp!RegisterASPDirMonitorEntry+0x6e (FPO: [EBP 0x09a8fb08] [2,0,4]) [D:/nt/private/inet/iis/svcs/cmp/asp/aspdmon.cpp @ 534] 09a8fb08 749fcdd6 00000000 09a8fcbc 018d1f28 asp!CTemplateCacheManager::RegisterTemplateForChangeNotification+0x8a (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/cmp/asp/cachemgr.cpp @ 621] 09a8fb3c 74a08bfe 00000000 000000fa 74a30958 asp!CTemplateCacheManager::Load+0x382 (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/cmp/asp/cachemgr.cpp @ 364] 09a8fc68 74a0d4c9 04c12518 018d1f28 09a8fcbc asp!LoadTemplate+0x42 (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/cmp/asp/exec.cpp @ 1037] 09a8fcc0 74a2c3e5 00000000 0637ee38 09a8fd58 asp!CHitObj::ViperAsyncCallback+0x3e8 (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/cmp/asp/hitobj.cpp @ 2414] 09a8fcd8 787c048a 00000000 77aa1b03 01e91ed8 asp!CViperAsyncRequest::OnCall+0x3f (FPO: [Non-Fpo]) [D:/nt/private/inet/iis/svcs/cmp/asp/viperint.cpp @ 194] 09a8fce0 77aa1b03 01e91ed8 77a536d8 00000000 COMSVCS!STAActivityWorkHelper+0xa (FPO: [1,0,0]) 09a8fd24 77aa1927 000752f8 000864dc 787c0480 ole32!EnterForCallback+0x6a (FPO: [Non-Fpo]) [D:/nt/private/ole32/com/dcomrem/crossctx.cxx @ 1759] 09a8fe50 77aa17ea 000864dc 787c0480 01e91ed8 ole32!SwitchForCallback+0x12b (FPO: [Non-Fpo]) [D:/nt/private/ole32/com/dcomrem/crossctx.cxx @ 1644] 09a8fe78 77aa60c1 000864dc 787c0480 01e91ed8 ole32!PerformCallback+0x50 (FPO: [Non-Fpo]) [D:/nt/private/ole32/com/dcomrem/crossctx.cxx @ 1559] 09a8fed4 77aa5fa6 04f2b4c0 787c0480 01e91ed8 ole32!CObjectContext::InternalContextCallback+0xf5 (FPO: [Non-Fpo]) [D:/nt/private/ole32/com/dcomrem/context.cxx @ 3866] 09a8fef4 787bd3c3 04f2b4c0 787c0480 01e91ed8 ole32!CObjectContext::DoCallback+0x1a (FPO: [Non-Fpo]) [D:/nt/private/ole32/com/dcomrem/context.cxx @ 3746] 09a8ff24 787bf373 0216fb3c 00000007 09a8ffec COMSVCS!STAActivityWork::DoWork+0x73 (FPO: [0,4,2]) 09a8ffb4 77e8758a 0216fe94 0216fb3c 00000007 COMSVCS!STAThread::STAThreadWorker+0x2bb (FPO: [EBP 0x09a8ffec] [1,31,4]) 09a8ffec 00000000 787bf0b8 0216fe94 00000000 KERNEL32!BaseThreadStart+0x52 (FPO: [Non-Fpo]) [D:/nt/private/windows/base/client/support.c @ 451]
_except_handler函数的情况
有些情况下堆栈中没有UnhandledExceptionFilter,而只有_except_handler函数，这个是SEH异常处理函数。函数原型：EXCEPTION_DISPOSITION __cdecl _except_handler(struct _EXCEPTION_RECORD *ExceptionRecord,
void * EstablisherFrame,
struct _CONTEXT *ContextRecord,
void * DispatcherContext);
这个函数的第一个参数是一个指向 EXCEPTION_RECORD 结构的指针。这个结构在WINNT.H中定义，如下所示：
typedef struct _EXCEPTION_RECORD {
DWORD ExceptionCode;
DWORD ExceptionFlags;
struct _EXCEPTION_RECORD *ExceptionRecord;
PVOID ExceptionAddress;
DWORD NumberParameters;
DWORD ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;
_except_handler 函数的第二个参数是一个指向establisher帧结构的指针。
_except_handler 回调函数的第三个参数是一个指向 CONTEXT 结构的指针。
typedef struct _CONTEXT
{
DWORD ContextFlags;
DWORD Dr0;
DWORD Dr1;
DWORD Dr2;
DWORD Dr3;
DWORD Dr6;
DWORD Dr7;
FLOATING_SAVE_AREA FloatSave;
DWORD SegGs;
DWORD SegFs;
DWORD SegEs;
DWORD SegDs;
DWORD Edi;
DWORD Esi;
DWORD Ebx;
DWORD Edx;
DWORD Ecx;
DWORD Eax;
DWORD Ebp;
DWORD Eip;
DWORD SegCs;
DWORD EFlags;
DWORD Esp;
DWORD SegSs;
} CONTEXT;
_except_handler 回调函数的第四个参数被称为DispatcherContext。
分析dump文件时，在命令提示符处键入 ~*kb 要列出所有进程中线程。
标识进行函数调用的线程 Kernel32!_except_handler。 它看起来类似于以下内容：
9 Id: 918.117c Suspend: 2 Teb: 7ffd8000 Unfrozen ChildEBP RetAddr Args to Child 085df400 7c9232a8 085df4ec 085dffdc 085df50c kernel32!_except_handler3+0x61 085df424 7c92327a 085df4ec 085dffdc 085df50c ntdll!ExecuteHandler2+0x26 085df4d4 7c92e48a 00000000 085df50c 085df4ec ntdll!ExecuteHandler+0x24
切换到该线程 （在此示例中，线程是"~ 9s"）。
Kernel32! !_except_handler第一个参数 dword 值表示异常记录。 若要获取有关异常的类型的信息，请在命令提示符处运行以下： .exr first DWORD from step 5
0:009> .exr 085df4ec ExceptionAddress: 7c812afb (kernel32!RaiseException+0x00000053) ExceptionCode: e06d7363 (C++ EH exception) ExceptionFlags: 00000001 NumberParameters: 3 Parameter[0]: 19930520 Parameter[1]: 085df874 Parameter[2]: 006c010c
Kernel32! !_except_handler第三个参数 dword 值是上下文记录。 要获取的上下文信息，请在命令提示符处运行以下：
.cxr second DWORD from step 6
0:009> .cxr 085df50c eax=085df7dc ebx=00005d34 ecx=00000000 edx=01240608 esi=085df864 edi=00100000 eip=7c812afb esp=085df7d8 ebp=085df82c iopl=0 nv up ei pl nz na pe nc cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000206 kernel32!RaiseException+0x53: 7c812afb 5e pop esi
运行 kv 命令以获得实际的异常的调用堆栈。 这可以帮助您识别可能不具有被正确处理过程中的实际问题
0:009> kv ChildEBP RetAddr Args to Child WARNING: Stack unwind information not available. Following frames may be wrong. 09a8fa2c 780119ab 09a8fad4 00000000 09a8faa8 MSVCRT!strnicmp+0x92 09a8fa40 7801197c 09a8fad4 00000000 6d7044fd MSVCRT!stricmp+0x3c 09a8fa80 6e5a6ef6 09a8fad4 2193d68d 00e5e298 MSVCRT!stricmp+0xd
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 
相关文章推荐
- WinDbg 查找问题异常堆栈，堆栈跟踪UnhandledExceptionFilter
- 查找问题的异常堆栈，堆栈跟踪中出现一个 UnhandledExceptionFilter
- 【转】堆栈跟踪中收到一个UnhandledExceptionFilter调用时，如何查找问题异常堆栈
- 异常处理和软件异常 -- SetUnhandledExceptionFilter
- SetUnhandledExceptionFilter处理未捕获异常
- 旧调重弹－SetUnhandledExceptionFilter的使用问题
- SetUnhandledExceptionFilter_异常捕获
- 利用SetUnhandledExceptionFilter获取程序异常时的DUMP文件
- 实现 UnhandledExceptionFilter() 需要的几个问题
- C#调用参数为函数指针的API函数 - 以SetUnhandledExceptionFilter为例编写一个全局异常处理程序
- SetUnhandledExceptionFilter (发生异常时系统的处理顺序)
- 利用SetUnhandledExceptionFilter机制实现程序异常后自动重启
- Windbg调试--Get the Call Stack back when met UnhandledExceptionFilter
- SetUnhandledExceptionFilter无法捕获异常原因及解决方法
- vc中异常捕捉的最后一道屏障-SetUnhandledExceptionFilter
- java.lang.NullPointerException--jvm堆栈异常信息丢失问题
- 旧调重弹－SetUnhandledExceptionFilter的使用问题
- SetUnhandledExceptionFilter 相关收集异常信息
- 利用SetUnhandledExceptionFilter获取程序异常时的DUMP文件
- 异常处理——异常函数之SetUnhandledExceptionFilter（父进程处理）（2）