Question

所以，我在一个转储的调用堆栈中看到这一行（x86 / Windows 7）我正在看。由于我的问题仅与此电话有关，因此我已经大量剪断了它。

Args to Child
01111111 04444444 05555555 ntdll!KiUserExceptionDispatcher+0xf

然后经过：http://www.nynaeve.net/Code/KiUserExceptionDispatcher.c

看起来堆栈的前两个参数必须是上下文记录和异常记录。然而，通过一些实验，我注意到01111111不是第一个参数。它实际上从04444444开始。因此，在这种情况下.cxr 04444444和.exr 05555555显示合理的输出。

现在，我知道调试器可能只显示堆栈上的任何内容，我不应该单独依赖它，但如果下面的所有内容都标有“堆栈展开信息”不可用。以下帧可能是错误的“，我怎么知道我应该忽略01111111？

更新

让我们尝试不同的方法。以下是2条相关信息：

Args to Child
0ccccccc 77895ac4 00000000 kernel32!UnhandledExceptionFilter+0x9e
[... various other calls here, leading up to ...]
0eeeeeee 0aaaaaaa 0bbbbbbb ntdll!KiUserExceptionDispatcher+0xf

所以，看看这个。 UnhandledExceptionFilter的唯一参数是EXCEPTION_POINTERS *结构，对吗？

0:010> dd 0ccccccc l2
0ddddddd  0bbbbbbb 0aaaaaaa

在EXCEPTION_POINTERS结构中，第一个字段是EXCEPTION_RECORD（0bbbbbbb），第二个字段是CONTEXT_RECORD（0aaaaaaa）。但是，在对KiUserEceptionDispatcher的调用中，这些参数以相反的方式出现。更不用说事实0eeeeeee NOT 是KiUserExceptionDispatcher的第一个参数，但是0ccccccc IS 是UnhandledExceptionFilter的第一个参数。

我很困惑！

Answer 1

Windows 7 x86 32位计算机
winkey + r - ＆gt; windbg calc
bp ntdll！KiUserExceptionDispatcher
F5 在计算器中除以0/0以引发异常

(ac8.c8c): C++ EH exception - code e06d7363 (first chance)
Breakpoint 0 hit
eax=0023e1ec ebx=02b12fd0 ecx=00000003 edx=00000000 esi=02b13178 edi=00000001
eip=76e77048 esp=0023dee0 ebp=0023e23c iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
ntdll!KiUserExceptionDispatcher:
76e77048 fc              cld

你的帖子显示返回地址为+ 0xf所以让我们看看到那个点是什么

0:000> u . .+f
ntdll!KiUserExceptionDispatcher:
76e77048 fc              cld
76e77049 8b4c2404        mov     ecx,dword ptr [esp+4]
76e7704d 8b1c24          mov     ebx,dword ptr [esp]
76e77050 51              push    ecx
76e77051 53              push    ebx
76e77052 e85d88fdff      call    ntdll!RtlDispatchException (76e4f8b4)
76e77057 0ac0            or      al,al

因此，从您的调用堆栈输入RtlDispatchException后，您似乎已经崩溃了

打破进入通话

0:000> tc
eax=0023e1ec ebx=0023dee8 ecx=0023df08 edx=00000000 esi=02b13178 edi=00000001
eip=76e77052 esp=0023ded8 ebp=0023e23c iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
ntdll!KiUserExceptionDispatcher+0xa:
76e77052 e85d88fdff      call    ntdll!RtlDispatchException (76e4f8b4)


0:000> t
eax=0023e1ec ebx=0023dee8 ecx=0023df08 edx=00000000 esi=02b13178 edi=00000001
eip=76e4f8b4 esp=0023ded4 ebp=0023e23c iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
ntdll!RtlDispatchException:
76e4f8b4 8bff            mov     edi,edi

如果你问windbg是冗长的话，看着堆栈它甚至会破译你的上下文

0:000> kb 3
 # ChildEBP RetAddr  Args to Child              
00 0023ded0 76e77057 0023dee8 0023df08 0023dee8 ntdll!RtlDispatchException
01 0023ded0 7521b760 0023dee8 0023df08 0023dee8 ntdll!KiUserExceptionDispatcher+0xf
02 0023e23c 7579359c e06d7363 00000001 00000003 KERNELBASE!RaiseException+0x58
0:000> kv 3
 # ChildEBP RetAddr  Args to Child              
00 0023ded0 76e77057 0023dee8 0023df08 0023dee8 ntdll!RtlDispatchException (FPO: [Non-Fpo])
01 0023ded0 7521b760 0023dee8 0023df08 0023dee8 ntdll!KiUserExceptionDispatcher+0xf (FPO: [2,0,0]) (CONTEXT @ 0023df08)
02 0023e23c 7579359c e06d7363 00000001 00000003 KERNELBASE!RaiseException+0x58 (FPO: [Non-Fpo])

exr输出

0:000> .exr poi(@esp+4)
ExceptionAddress: 7521b760 (KERNELBASE!RaiseException+0x00000058)
   ExceptionCode: e06d7363 (C++ EH exception)
  ExceptionFlags: 00000001
NumberParameters: 3
   Parameter[0]: 19930520
   Parameter[1]: 0023e294
   Parameter[2]: 007c15b4
unable to find C-Runtime symbols, even with unqualified search

上下文记录输出

0:000> dt ntdll!_CONTEXT poi(@esp+8)
   +0x000 ContextFlags     : 0x1003f
   +0x004 Dr0              : 0
   +0x008 Dr1              : 0
   +0x00c Dr2              : 0
   +0x010 Dr3              : 0
   +0x014 Dr6              : 0
   +0x018 Dr7              : 0
   +0x01c FloatSave        : _FLOATING_SAVE_AREA
   +0x08c SegGs            : 0
   +0x090 SegFs            : 0x3b
   +0x094 SegEs            : 0x23
   +0x098 SegDs            : 0x23
   +0x09c Edi              : 1
   +0x0a0 Esi              : 0x2b13178
   +0x0a4 Ebx              : 0x2b12fd0
   +0x0a8 Edx              : 0
   +0x0ac Ecx              : 3
   +0x0b0 Eax              : 0x23e1ec
   +0x0b4 Ebp              : 0x23e23c
   +0x0b8 Eip              : 0x7521b760
   +0x0bc SegCs            : 0x1b
   +0x0c0 EFlags           : 0x202
   +0x0c4 Esp              : 0x23e1ec
   +0x0c8 SegSs            : 0x23
   +0x0cc ExtendedRegisters : [512]  "???"

你甚至可以通过使用.extptr获得两者（注意你可能需要在使用此命令后使用.cxr将上下文重置为默认范围）

0:000> .exptr (@esp+4)

----- Exception record at 0023dee8:
ExceptionAddress: 7521b760 (KERNELBASE!RaiseException+0x00000058)
   ExceptionCode: e06d7363 (C++ EH exception)
  ExceptionFlags: 00000001
NumberParameters: 3
   Parameter[0]: 19930520
   Parameter[1]: 0023e294
   Parameter[2]: 007c15b4
unable to find C-Runtime symbols, even with unqualified search

----- Context record at 0023df08:
eax=0023e1ec ebx=02b12fd0 ecx=00000003 edx=00000000 esi=02b13178 edi=00000001
eip=7521b760 esp=0023e1ec ebp=0023e23c iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
KERNELBASE!RaiseException+0x58:
7521b760 c9              leave


0:000> kb 3
 # ChildEBP RetAddr  Args to Child              
00 0023e23c 7579359c e06d7363 00000001 00000003 KERNELBASE!RaiseException+0x58
01 0023e274 0079eee0 0023e294 007c15b4 02b13178 msvcrt!_CxxThrowException+0x48
02 0023e288 0079146e 02b13178 80000002 c87a3f02 calc!divrat+0x69

0:000> .cxr
Resetting default scope

0:000> kb 3
 # ChildEBP RetAddr  Args to Child              
00 0023ded0 76e77057 0023dee8 0023df08 0023dee8 ntdll!RtlDispatchException
01 0023ded0 7521b760 0023dee8 0023df08 0023dee8 ntdll!KiUserExceptionDispatcher+0xf
02 0023e23c 7579359c e06d7363 00000001 00000003 KERNELBASE!RaiseException+0x58

希望这足以根据您的具体情况自行研究，而您无法透露实际的windbg堆栈跟踪

Windows

1 个答案: