通过windbg定位错过第一现场的崩溃
说明
所谓的“错误第一现场”，是指当我们的windows程序出现崩溃时，会弹出一个错误框，这时候如果再使用windbg分析dump是无法快速找到异常点的。
原因
由于windows的KiDispatchException的异常分发机制，如果程序没有设置任何异常包含，最后程序会调用windows的默认异常处理函数—创建一个异常dialog。 这时候程序的异常现场会被默认异常处理给冲刷掉，所以当你使用".ecxr" 命令时是无法找到异常点的。
方法
方法其实也和很简单，就是通过变量所有线程的历史调用栈，找到KiDispatchException函数的参数就可以了。
-
首先打开windbg的日志功能，把输出写入文件，搜索快速 加载windows的pdb文件，否则无法执行命令 执行命令，打印所有线程历史调用栈
~*er?$t1=((ntdll!_NT_TIB*)@$teb)->StackLimit;r?$t2=((ntdll!_NT_TIB*)@$teb)->StackBase;!teb;dps@$t1@$t2
-
查找KiUserExceptionDispatcher
044bed64 044ba000 044bed68 00000000 044bed6c 044bf288 044bed70 77a70133 ntdll!KiUserExceptionDispatcher+0xf 044bed74 014bed84 044bed78 **044bedd4** /// 这个地址就是异常上下文地址 044bed7c 044bed84 044bed80 044bedd4 044bed84 e06d7363 044bed88 00000001 044bed8c 00000000 044bed90 769cc42d KERNELBASE!RaiseException+0x58
-
执行 .cxr 044bedd4 ，就可以切换到异常点了。
最后
当程序弹出异常框时，保存好dump，照样可以分析到异常点。
