SetUnhandledExceptionFilter

Доброго времени суток.

Как получить адрес функции глобального обработчика исключений, который устанавливается через SetUnhandledExceptionFilter(адрес_на_функцию_обработчика) без вызова самой SetUnhandledExceptionFilter.

 

Если твоя прога не вызывает SetUnhandledExceptionFilter то никто другой её для твоей проги не вызовет и соответсвенно этого обработчика просто не будет
Винда по своей инициативе добавляет только обработчики в fs:[0]

 

.

Я не писал, что это моя прога

 

тогда может здесь почитать http://wasm.ru/print.php?article=ollydbg22

 

ntdll.dll!KiUserExceptionDispatcher?

 

Слёту можно придумать несколько способов:
- дизассемблированием SetUnhandledExceptionFilter в поисках указателя BasepCurrentTopLevelFilter,
если не ошибаюсь, ему нужно сделать RtlDecodePointer();
- через символы отладки, поиск того же kernel32!BasepCurrentTopLevelFilter (так же нужна RtlDecodePointer())
- если не своя программа, то внедрить dll с кодом вроде этого:

Код (Text):

1. TopFilter = SetUnhandledExceptionFilter(SomeYourFunction);
2. SetUnhandledExceptionFilter(TopFilter);
3. ShowValue(TopFilter);