定义没有异常处理程序来处理引发的异常时调用UnhandledExceptionFilter函数。函数通常将异常传递到捕获并处理它所尝试的 Ntdll.dll 文件。
在某些情况下，在其中存在的进程内存快照，您可以看到一个线程持有的锁点的线程调用UnhandledExceptionFilter函数。在这些情况下，您可以按照本文来标识导致异常的 DLL 中的步骤。
通过使用 Windbg.exe 打开转储文件
下载并安装调试程序。若要下载调试程序，请访问下面的 Microsoft 网站：
Microsoft 调试工具
http://www.microsoft.com/whdc/devtools/ddk/default.mspx
打开调试程序，文件的安装位置的文件夹，然后双击Windbg.exe启动调试程序。
在文件菜单上，单击打开崩溃转储（或按 CTRL + D），然后选择您想要查看的转储文件。
使用 Windbg.exe 来识别异常堆栈
在 Windbg.exe，打开.dmp 文件的过程。
请确保您正确位置指向的符号路径。有关如何执行此操作的详细信息，请访问下面的 Microsoft 网站：
如何获取符号
http://www.microsoft.com/whdc/devtools/ddk/default.mspx
在命令提示符下键入~ * kb列出所有进程中的线程。
标识函数Kernel32 到执行调用的线程 ！UnhandledExceptionFilter。它看起来类似于下面：
120 id: f0f0f0f0.a1c Suspend: 1 Teb 7ff72000 Unfrozen
ChildEBP RetAddr Args to Child
09a8f334 77eb9b46 0000244c 00000001 00000000 ntdll!ZwWaitForSingleObject+0xb [i386usrstubs.asm @ 2004]
09a8f644 77ea7e7a 09a8f66c 77e861ae 09a8f674 KERNEL32!UnhandledExceptionFilter+0x2b5
[D:
tprivatewindowsaseclient hread.c @ 1753]
09a8ffec 00000000 787bf0b8 0216fe94 00000000 KERNEL32!BaseThreadStart+0x65 [D:
tprivatewindowsaseclientsupport.c @ 453]
切换到该线程 （在此示例中，该线程是"~ 120s"）。
通过Kernel32 的第一个参数指定的位置中显示的内存内容 ！UnhandledExceptionFilter使用dd第一个参数。这将指向的EXCEPTION_POINTERS结构。
0:120> dd 09a8f66c
09a8f66c 09a8f738 09a8f754 09a8f698 77f8f45c
09a8f67c 09a8f738 09a8ffdc 09a8f754 09a8f710
09a8f68c 09a8ffdc 77f8f5b5 09a8ffdc 09a8f720
09a8f69c 77f8f3fa 09a8f738 09a8ffdc 09a8f754
09a8f6ac 09a8f710 77e8615b 09a8fad4 00000000
09a8f6bc 09a8f738 74a25336 09a8f6e0 09a8f910
09a8f6cc 01dc8ad8 0d788918 00000001 018d1f28
09a8f6dc 00000001 61746164 7073612e 09a8f71c
第一个 DWORD 表示异常记录。若要获取有关异常的类型的信息，请在命令提示符处运行以下命令：
.exrfirst DWORD from step 6
0:120> .exr 09a8f738
ExceptionAddress: 78011f32 (MSVCRT!strnicmp+0x00000092)
ExceptionCode: c0000005
ExceptionFlags: 00000000
NumberParameters: 2
Parameter[0]: 00000000
Parameter[1]: 00000000
Attempt to read from address 00000000
第二个 dword 值是上下文记录。要获取的上下文信息，请在命令提示符处运行以下命令：
.cxrsecond DWORD from step 6
0:120> .cxr 09a8f754
eax=027470ff ebx=7803cb28 ecx=00000000 edx=00000000 esi=00000000 edi=09a8fad4
eip=78011f32 esp=09a8fa20 ebp=09a8fa2c iopl=0 nv up ei ng nz na po nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010286
MSVCRT!strnicmp+92:
78011f32 8a06 mov al,[esi]
运行kv命令以获取实际的异常的调用堆栈。这有助于您识别可能不能正确处理过程中的实际问题。
0:120> kv
ChildEBP RetAddr Args to Child
WARNING: Stack unwind information not available. Following frames may be wrong.
09a8fa2c 780119ab 09a8fad4 00000000 09a8faa8 MSVCRT!strnicmp+0x92
09a8fa40 7801197c 09a8fad4 00000000 6d7044fd MSVCRT!stricmp+0x3c
09a8fa80 6e5a6ef6 09a8fad4 2193d68d 00e5e298 MSVCRT!stricmp+0xd
09a8fa94 6d7043bf 09a8fad4 09a8faa8 0000001c IisRTL!CLKRHashTable::FindKey+0x59 (FPO: [2,0,1])
09a8faac 749fc22d 09a8fad4 01d553b0 0000001c ISATQ!CDirMonitor::FindEntry+0x1e
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcsinfocommatqdirmon.cpp @ 884]
09a8fac4 749fd1cb 09a8fad4 09a8fb10 525c3a46 asp!RegisterASPDirMonitorEntry+0x6e
(FPO: [EBP 0x09a8fb08] [2,0,4]) [D:
tprivateinetiissvcscmpaspaspdmon.cpp @ 534]
09a8fb08 749fcdd6 00000000 09a8fcbc 018d1f28 asp!CTemplateCacheManager::RegisterTemplateForChangeNotification+0x8a
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcscmpaspcachemgr.cpp @ 621]
09a8fb3c 74a08bfe 00000000 000000fa 74a30958 asp!CTemplateCacheManager::Load+0x382
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcscmpaspcachemgr.cpp @ 364]
09a8fc68 74a0d4c9 04c12518 018d1f28 09a8fcbc asp!LoadTemplate+0x42
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcscmpaspexec.cpp @ 1037]
09a8fcc0 74a2c3e5 00000000 0637ee38 09a8fd58 asp!CHitObj::ViperAsyncCallback+0x3e8
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcscmpasphitobj.cpp @ 2414]
09a8fcd8 787c048a 00000000 77aa1b03 01e91ed8 asp!CViperAsyncRequest::OnCall+0x3f
(FPO: [Non-Fpo]) [D:
tprivateinetiissvcscmpaspviperint.cpp @ 194]
09a8fce0 77aa1b03 01e91ed8 77a536d8 00000000 COMSVCS!STAActivityWorkHelper+0xa
(FPO: [1,0,0])
09a8fd24 77aa1927 000752f8 000864dc 787c0480 ole32!EnterForCallback+0x6a
(FPO: [Non-Fpo]) [D:
tprivateole32comdcomremcrossctx.cxx @ 1759]
09a8fe50 77aa17ea 000864dc 787c0480 01e91ed8 ole32!SwitchForCallback+0x12b
(FPO: [Non-Fpo]) [D:
tprivateole32comdcomremcrossctx.cxx @ 1644]
09a8fe78 77aa60c1 000864dc 787c0480 01e91ed8 ole32!PerformCallback+0x50
(FPO: [Non-Fpo]) [D:
tprivateole32comdcomremcrossctx.cxx @ 1559]
09a8fed4 77aa5fa6 04f2b4c0 787c0480 01e91ed8 ole32!CObjectContext::InternalContextCallback+0xf5
(FPO: [Non-Fpo]) [D:
tprivateole32comdcomremcontext.cxx @ 3866]
09a8fef4 787bd3c3 04f2b4c0 787c0480 01e91ed8 ole32!CObjectContext::DoCallback+0x1a
(FPO: [Non-Fpo]) [D:
tprivateole32comdcomremcontext.cxx @ 3746]
09a8ff24 787bf373 0216fb3c 00000007 09a8ffec COMSVCS!STAActivityWork::DoWork+0x73
(FPO: [0,4,2])
09a8ffb4 77e8758a 0216fe94 0216fb3c 00000007 COMSVCS!STAThread::STAThreadWorker+0x2bb
(FPO: [EBP 0x09a8ffec] [1,31,4])
09a8ffec 00000000 787bf0b8 0216fe94 00000000 KERNEL32!BaseThreadStart+0x52
(FPO: [Non-Fpo]) [D:
tprivatewindowsaseclientsupport.c @ 451]
http://support.microsoft.com/kb/313109/zh-cn