写在前面
此系列是本人一个字一个字码出来的，包括示例和实验截图。由于系统内核的复杂性，故可能有错误或者不全面的地方，如有错误，欢迎批评指正，本教程将会长期更新。 如有好的建议，欢迎反馈。码字不易，如果本篇文章有帮助你的，如有闲钱，可以打赏支持我的创作。如想转载，请把我的转载信息附在文章后面，并声明我的个人信息和本人博客地址即可，但必须事先通知我。
你如果是从中间插过来看的，请仔细阅读 羽夏看Win系统内核——简述 ，方便学习本教程。
看此教程之前，问几个问题，基础知识储备好了吗？保护模式篇学会了吗？练习做完了吗？没有的话就不要继续了。
华丽的分割线
概述
之前我们介绍了异常的记录。既然记录好的异常，我肯定需要分发来处理它。对于异常有来自用户模式的异常和内核态的异常。在我们之前学习中，它们的区别还是挺大的。无论是内核的异常，还是用户的异常，异常处理的重心我们得放到KiDispatchException这个函数的分析上，先介绍相对简单的内核异常处理流程。
内核异常处理
对于内核异常处理，我们先看看KiDispatchException的处理流程：
KeContextFromKframes将TrapFrame备份到Context，为返回3环做准备。- 判断先前模式，0是内核调用反之是用户层调用。
- 是否是第一次机会。
- 是否有内核调试器。
- 如果没有或者内核调试器不处理。
- 调用
RtlDispatchException，查找并调用异常处理函数。 - 如果返回
FALSE，再次判断是否有内核调试器，有调用，没有直接蓝屏。
下面我们通过反汇编的形式过一遍这个流程：
push 390h
push offset stru_401FA0
call __SEH_prolog
mov eax, ___security_cookie
mov [ebp+security_cookie], eax
mov esi, [ebp+ExceptionRecord]
mov [ebp+var_ExceptionRecord], esi
mov ecx, [ebp+ExceptionFrame]
mov [ebp+var_ExceptionFrame], ecx
mov ebx, [ebp+TrapFrame]
mov [ebp+var_TrapFrame], ebx
db 3Eh
mov eax, ds:0FFDFF020h
inc [eax+_KPRCB.KeExceptionDispatchCount] ; 异常派发数加1
mov [ebp+Context.ContextFlags], 10017h
cmp [ebp+PreviousMode], 1
jz short IsUserMode
cmp _KdDebuggerEnabled, 0
jz short KernelModeAndNoDBG
函数开始开始赋值一波，然后判断否是为3环，但我们是内核的，故不会跳转，然后cmp _KdDebuggerEnabled, 0判断调试器是否开启，具体将会在调试篇进行讲解，这里就不多说了。
这里我们没有调试器，就会跳转到下面的汇编代码：
KernelModeAndNoDBG: ; CODE XREF: KiDispatchException(x,x,x,x,x)+55↑j
; KiDispatchException(x,x,x,x,x)+68↑j
lea eax, [ebp+Context]
push eax ; ContextRecord
push ecx ; ExceptionFrame
push ebx ; TrapFrame
call _KeContextFromKframes@12 ; KeContextFromKframes(x,x,x)
mov eax, [esi]
cmp eax, STATUS_BREAKPOINT
jz short IsBreakPoint
cmp eax, KI_EXCEPTION_ACCESS_VIOLATION
jnz short OtherExceptionProc
mov dword ptr [esi], STATUS_ACCESS_VIOLATION
cmp [ebp+PreviousMode], 1
jnz short OtherExceptionProc
lea eax, [ebp+Context]
push eax ; Context
push esi ; ExceptionRecord
call _KiCheckForAtlThunk@8 ; KiCheckForAtlThunk(x,x)
test al, al
jnz loc_425AFD
cmp byte ptr ds:0FFDF0280h, 1
jnz short OtherExceptionProc
cmp dword ptr [esi+14h], 8
jnz short OtherExceptionProc
test _KeNumberProcessors+0Fh, 40h
jnz short loc_425A30
mov eax, large fs:_KPCR.PrcbData.CurrentThread
mov eax, [eax+_KTHREAD.ApcState.Process]
test [eax+_EPROCESS.Pcb.___u27.Flags._bf_0], 2
jnz short loc_425A30
test _KeNumberProcessors+0Fh, 80h
jnz short OtherExceptionProc
mov eax, large fs:_KPCR.PrcbData.CurrentThread
mov eax, [eax+_KTHREAD.ApcState.Process]
test [eax+_EPROCESS.Pcb.___u27.Flags._bf_0], 1
jnz short OtherExceptionProc
这里就开始将TrapFrame备份到Context，首先判断是否是int3断点，如果是的话就会跳转到如下代码：
IsBreakPoint: ; CODE XREF: KiDispatchException(x,x,x,x,x)+89↑j
dec [ebp+Context._Eip]
OtherExceptionProc: ; CODE XREF: KiDispatchException(x,x,x,x,x)+90↑j
; KiDispatchException(x,x,x,x,x)+9C↑j ...
xor edi, edi
DebugRoutine: ; CODE XREF: KiDispatchException(x,x,x,x,x)+F7↑j
该代码就会修正EIP，继续下面的流程。如果不是断点，就判断一系列的异常，并进行相应的处理，如果都不是就跳转到所谓的OtherExceptionProc进行处理：
DebugRoutine: ; CODE XREF: KiDispatchException(x,x,x,x,x)+F7↑j
cmp [ebp+PreviousMode], 0
jnz short UserMode
cmp [ebp+FirstChance], 1
jnz short SecondChance
mov eax, _KiDebugRoutine
cmp eax, edi ; edi = 0
jz short NoDebugRoutine
push edi ; SecondChance
push edi ; PreviousMode
lea ecx, [ebp+Context]
push ecx ; ContextRecord
push esi ; ExceptionRecord
push [ebp+var_ExceptionFrame] ; ExceptionFrame
push ebx ; TrapFrame
call eax ; _KiDebugRoutine
test al, al
jnz loc_425AFD
NoDebugRoutine: ; CODE XREF: KiDispatchException(x,x,x,x,x)+114↑j
lea eax, [ebp+Context]
push eax ; Context
push esi ; ExceptionRecord
call _RtlDispatchException@8 ; RtlDispatchException(x,x)
cmp al, 1
jz short loc_425AFD
这里同理，我们没有调试器，就会调用RtlDispatchException这个函数。如果失败，就会继续执行下面的代码：
jz short loc_425AFD
SecondChance: ; CODE XREF: KiDispatchException(x,x,x,x,x)+10B↑j
mov eax, _KiDebugRoutine
cmp eax, edi
jz NoDebugRoutine_0
push 1 ; SecondChance
push edi ; PreviousMode
lea ecx, [ebp+Context]
push ecx ; ContextRecord
push esi ; ExceptionRecord
push [ebp+var_ExceptionFrame] ; ExceptionFrame
push ebx ; TrapFrame
call eax ; _KiDebugRoutine
test al, al
jnz short loc_425AFD
jmp NoDebugRoutine_0
就继续判断有没有调试器，但我这里没有，就会跳到下面的汇编代码：
NoDebugRoutine_0: ; CODE XREF: KiDispatchException(x,x,x,x,x)+149↑j
; KiDispatchException(x,x,x,x,x)+167↑j
push edi ; BugCheckParameter4
push ebx ; BugCheckParameter3
push [esi+_EXCEPTION_RECORD32.ExceptionAddress] ; BugCheckParameter2
push [esi+_EXCEPTION_RECORD32.ExceptionCode] ; BugCheckParameter1
push KERNEL_MODE_EXCEPTION_NOT_HANDLED ; BugCheckCode
call _KeBugCheckEx@20 ; KeBugCheckEx(x,x,x,x,x)
上面的代码，就是所谓的蓝屏。有关内核异常处理就介绍到这里，具体的细节将会到总结与提升篇进行介绍。
用户异常处理
对于用户异常处理，我们先看看KiDispatchException的处理流程：
KeContextFromKframes将TrapFrame备份到Context，为返回3环做准备。- 判断先前模式，0是内核调用反之是用户层调用。
- 是否是第一次机会。
- 是否有内核调试器。
- 发送给3环调试。
有了内核异常的介绍，我就不赘述了，直接定位到关键代码：
inc [eax+_KPRCB.KeExceptionDispatchCount] ; 异常派发数加1
mov [ebp+Context.ContextFlags], 10017h
cmp [ebp+PreviousMode], 1
jz short IsUserMode
cmp _KdDebuggerEnabled, 0
jz short KernelModeAndNoDBG
这里我们是用户的异常，所以会跳转：
IsUserMode: ; CODE XREF: KiDispatchException(x,x,x,x,x)+4C↑j
mov [ebp+Context.ContextFlags], 1001Fh
cmp _KeI386XMMIPresent, 0
jz short KernelModeAndNoDBG
mov [ebp+Context.ContextFlags], 1003Fh
KernelModeAndNoDBG: ; CODE XREF: KiDispatchException(x,x,x,x,x)+55↑j
; KiDispatchException(x,x,x,x,x)+68↑j
lea eax, [ebp+Context]
这里就是赋值，不是我们关注的重点，我们继续：
KernelModeAndNoDBG: ; CODE XREF: KiDispatchException(x,x,x,x,x)+55↑j
; KiDispatchException(x,x,x,x,x)+68↑j
lea eax, [ebp+Context]
push eax ; ContextRecord
push ecx ; ExceptionFrame
push ebx ; TrapFrame
call _KeContextFromKframes@12 ; KeContextFromKframes(x,x,x)
mov eax, [esi]
cmp eax, STATUS_BREAKPOINT
jz short IsBreakPoint
cmp eax, KI_EXCEPTION_ACCESS_VIOLATION
jnz short OtherExceptionProc
mov dword ptr [esi], STATUS_ACCESS_VIOLATION
cmp [ebp+PreviousMode], 1
jnz short OtherExceptionProc
lea eax, [ebp+Context]
push eax ; Context
push esi ; ExceptionRecord
call _KiCheckForAtlThunk@8 ; KiCheckForAtlThunk(x,x)
test al, al
jnz loc_425AFD
cmp byte ptr ds:0FFDF0280h, 1
jnz short OtherExceptionProc
cmp dword ptr [esi+14h], 8
jnz short OtherExceptionProc
test _KeNumberProcessors+0Fh, 40h
jnz short loc_425A30
mov eax, large fs:_KPCR.PrcbData.CurrentThread
mov eax, [eax+_KTHREAD.ApcState.Process]
test [eax+_EPROCESS.Pcb.___u27.Flags._bf_0], 2
jnz short loc_425A30
test _KeNumberProcessors+0Fh, 80h
jnz short OtherExceptionProc
mov eax, large fs:_KPCR.PrcbData.CurrentThread
mov eax, [eax+_KTHREAD.ApcState.Process]
test [eax+_EPROCESS.Pcb.___u27.Flags._bf_0], 1
jnz short OtherExceptionProc
由于我们是3环的，就会调用到KiCheckForAtlThunk这个函数作用如下：
This marks the beginning of an x86 ATL thunk. Control will branch here if the ATL thunk was built in memory marked no execute. If that is the case, then the thunk code will be emulated and control returned to the thread.
看描述并不是我们关注的重点，继续走到了我所标注的DebugRoutine：
DebugRoutine: ; CODE XREF: KiDispatchException(x,x,x,x,x)+F7↑j
cmp [ebp+PreviousMode], 0
jnz short UserMode_0
cmp [ebp+FirstChance], 1
jnz short SecondChance
mov eax, _KiDebugRoutine
cmp eax, edi ; edi = 0
jz short NoDebugRoutine
push edi ; SecondChance
push edi ; PreviousMode
lea ecx, [ebp+Context]
push ecx ; ContextRecord
push esi ; ExceptionRecord
push [ebp+var_ExceptionFrame] ; ExceptionFrame
push ebx ; TrapFrame
call eax ; _KiDebugRoutine
test al, al
jnz loc_425AFD
由于我们是用户态，就直接跳转到UserMode_0：
UserMode_0: ; CODE XREF: KiDispatchException(x,x,x,x,x)+105↑j
cmp [ebp+FirstChance], 1
jnz SecondChance_0
cmp _KiDebugRoutine, edi
jz short NoDebugRoutine_1
mov eax, large fs:_KPCR.PrcbData.CurrentThread
mov eax, [eax+_KTHREAD.ApcState.Process]
cmp [eax+_EPROCESS.DebugPort], edi
jz short NoDebugPort
push 1
lea eax, [ebp+Context]
push eax
push esi
call _KdIsThisAKdTrap@12 ; KdIsThisAKdTrap(x,x,x)
test al, al
jz short NoDebugRoutine_1
NoDebugPort: ; CODE XREF: KiDispatchException(x,x,x,x,x)+18D↑j
push edi ; SecondChance
push dword ptr [ebp+PreviousMode] ; PreviousMode
lea eax, [ebp+Context]
push eax ; ContextRecord
push esi ; ExceptionRecord
push [ebp+var_ExceptionFrame] ; ExceptionFrame
push ebx ; TrapFrame
call _KiDebugRoutine
test al, al
jz short NoDebugRoutine_1
由于我们不是调试模式，会跳到NoDebugRoutine_1：
NoDebugRoutine_1: ; CODE XREF: KiDispatchException(x,x,x,x,x)+17C↑j
; KiDispatchException(x,x,x,x,x)+1A0↑j ...
push edi ; SecondChance
push 1 ; DebugException
push esi ; ExceptionRecord
call _DbgkForwardException@12 ; DbgkForwardException(x,x,x)
test al, al
jnz short EndProc
mov [ebp+var_SecondChance], edi
DbgkForwardException就是向3环派发处理异常了，剩余的具体细节的讲解同样将会在总结与提升进行。
下一篇
异常篇—— VEH 与 SEH