C++ 如何利用 SEH 结构化异常捕获 Windows 内核崩溃抛出及系统处理方案实战【干货】-C++-PHP中文网

SEH不能捕获内核崩溃（如BSOD），仅能捕获当前线程用户态触发的结构化异常，如ACCESS_VIOLATION、INT_DIVIDE_BY_ZERO、STACK_OVERFLOW（需预留空间）及RaiseException抛出的自定义异常。

c++ 如何利用 seh 结构化异常捕获 windows 内核崩溃抛出及系统处理方案实战【干货】

SEH 不能捕获内核崩溃（如 BSOD），也不能拦截系统级异常（如访问违例导致的硬错误）——它只处理用户态的结构化异常，且必须在同一线程、同一栈帧中设置才有效。

SEH 能捕获哪些异常？

SEH（__try/__except）仅能捕获当前线程在用户模式下触发的结构化异常，比如：

ACCESS_VIOLATION（读写非法地址，如解引用 nullptr 或已释放内存）
INTERRUPTED、STACK_OVERFLOW（需提前预留栈空间，否则无法进入 __except 块）
通过 RaiseException() 主动抛出的自定义异常

它完全无法捕获：内核态崩溃（如驱动导致的 IRQL_NOT_LESS_OR_EQUAL）、硬件中断失控、电源故障、或系统强制终止进程（如 TerminateProcess）。这些场景下进程早已被内核回收，SEH 无机会执行。

为什么 try/except 在某些崩溃时“不生效”？

常见失效原因不是语法错，而是运行时环境限制：

windows-shell

Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。

下载

编译器未启用 SEH 支持：/EHsc 会禁用 SEH；必须用 /EHa（注意：这会让 C++ 异常也走 SEH 分发，可能干扰 catch 行为）
异常发生在不同线程：SEH 是线程局部的，主线程设的 __try 对工作线程崩溃无效
栈已被破坏：如缓冲区溢出覆盖了异常处理帧（EXCEPTION_REGISTRATION_RECORD），__except 块根本不会被调用
使用了 /SAFESEH 或 /DYNAMICBASE：现代链接选项可能移除或重排异常处理表，需确认 dumpbin /loadconfig 中 SEH 字段存在且非零

如何安全地记录崩溃现场并避免二次崩溃？

在 __except 块里做太多事（如调用 malloc、std::string、printf）极易引发二次异常。可靠做法是极简、确定性操作：

只调用 Windows API 中明确标记为 SEH-safe 的函数，如 WriteFile（用预先分配好的句柄和缓冲区）、OutputDebugString
避免任何堆分配：日志缓冲区必须是全局/静态数组，大小固定（如 char g_crash_log[1024]）
用 GetExceptionInformation() 提取 EXCEPTION_POINTERS*，从中读 ExceptionRecord->ExceptionCode 和 ContextRecord->Rip（x64）
不要尝试“恢复执行”（EXCEPTION_CONTINUE_EXECUTION）——除非你 100% 确认错误可逆（如临时修复页保护），否则大概率导致数据损坏

__except (EXCEPTION_EXECUTE_HANDLER) {
    PEXCEPTION_POINTERS p = GetExceptionInformation();
    _snprintf_s(g_crash_log, _countof(g_crash_log),
        "CRASH: 0x%08X at 0x%016I64X",
        p->ExceptionRecord->ExceptionCode,
        p->ContextRecord->Rip);
    WriteFile(hLog, g_crash_log, strlen(g_crash_log), &dw, nullptr);
    ExitProcess(1);
}

真正需要监控内核级问题时该怎么做？

如果你的目标是“感知驱动崩溃或系统级故障”，SEH 完全不在正确技术路径上：

监听 Windows 事件日志中的 System 日志源，过滤 Event ID 41（意外关机）、1001（WER 报告）、或驱动相关 Kernel-Power 事件
用 WMI 查询 Win32_BIOS、Win32_ComputerSystem 等类获取重启原因（LastBootUpTime + PowerOnHours 可辅助判断）
部署内核模式驱动（需签名+测试证书）并注册 PsSetCreateProcessNotifyRoutine 或 ObRegisterCallbacks，但这已超出用户态程序能力范围