C++ 如何利用 SEH 结构化异常捕获 Windows 内核崩溃抛出及处理方案【干货】-C++-PHP中文网

SEH不能捕获Windows内核崩溃，因其仅作用于用户态（Ring 3），而内核崩溃（如BSOD、0x7E、0xD1）发生在内核态（Ring 0），受特权级隔离和硬件异常分发机制阻隔，异常根本不会到达SEH链。

c++ 如何利用 seh 结构化异常捕获 windows 内核崩溃抛出及处理方案【干货】

SEH 能捕获 Windows 内核崩溃吗？不能

直接说结论：SEH（Structured Exception Handling）是用户态机制，运行在 ring 3，而内核崩溃（如 BSOD、KMODE_EXCEPTION_NOT_HANDLED、IRQL_NOT_LESS_OR_EQUAL）发生在 ring 0，SEH 完全无法触及。任何试图用 __try/__except 捕获“蓝屏”的想法，从架构上就走不通。

常见误解是：程序触发了空指针解引用或页错误，然后蓝屏了，所以“是不是没捕获好”。其实——

用户态访问非法地址（如 *(int*)0 = 1）会触发 EXCEPTION_ACCESS_VIOLATION，这个可以被 __try/__except 捕获
但若该操作因驱动缺陷导致内核栈破坏、IRQL 错误或未处理的内核异常，系统已跳转至内核错误分发流程，用户进程早被终止，SEH 根本没机会执行
SetUnhandledExceptionFilter 也仅作用于当前进程的用户态未处理异常，对内核态事件无效

哪些崩溃能用 SEH 实际拦截？明确边界

SEH 真正能起作用的，仅限于 Windows 用户态结构化异常，典型包括：

EXCEPTION_ACCESS_VIOLATION（读/写非法地址）
EXCEPTION_INT_DIVIDE_BY_ZERO
EXCEPTION_STACK_OVERFLOW（需配合 /STACK 和栈探针检测）
EXCEPTION_ILLEGAL_INSTRUCTION
通过 RaiseException 主动抛出的自定义异常

注意：EXCEPTION_GUARD_PAGE 和 EXCEPTION_DATATYPE_MISALIGNMENT 也属此列，但后者在现代 x64 上通常被忽略（硬件自动修正）。实际编码中，最常遇到且值得拦截的是前两项。

示例：安全访问可能为 nullptr 的结构体字段

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

__try {
    int val = ptr->field; // ptr 可能为 nullptr
} __except (GetExceptionCode() == EXCEPTION_ACCESS_VIOLATION ? EXCEPTION_EXECUTE_HANDLER : EXCEPTION_CONTINUE_SEARCH) {
    // 安全降级处理
    val = 0;
}

为什么 `try/except` 在 DLL 中容易失效？

关键原因：SEH 表依赖编译器生成的栈展开信息（.pdata / .xdata），而默认 /MD 或 /MT 下，若 DLL 与 EXE 使用不同 CRT 版本或异常处理模型（如一个用 /EHsc，另一个用 /EHa），会导致异常分发链断裂，__except 块不被执行，直接跳到上级过滤器或进程终止。