程序崩溃，提示快速异常检测失败的解决方案

在使用 Windows 操作系统时，一些用户可能会遇到“快速异常检测失败”的问题，尤其是在启用了 用户态影子栈（User Shadow Stack） 和 硬件控制流保护（CET） 的系统环境下。这种情况通常导致某些程序或驱动启动时崩溃，错误码为 0xC0000409，并且在调试器中可以看到“Stack pivot / Shadow stack mismatch”错误提示。本篇文章将深入介绍如何解决这一问题。

异常检测失败

1. 背景知识：用户态影子栈与 CET

什么是 CET（控制流强制执行技术）？

CET（Control-flow Enforcement Technology） 是英特尔和 AMD 提供的硬件扩展指令集，旨在增强计算机安全，特别是防止利用程序漏洞（如 ROP 和 JOP 攻击）。它主要通过两个子功能来实现：

IBT（Indirect Branch Tracking）：防止跳转到伪造的函数指针。
SS（Shadow Stack）：在只读内存中维护一份“影子”调用栈，通过 RET 指令比对真实栈与影子栈来防止 ROP/JOP 攻击。

从 Windows 10 20H1 版本开始，操作系统就内置了对 CET 的支持，其中用户态的影子栈（User-mode Shadow Stack）和内核态的 KCFG 保护被默认启用。然而，在某些情况下，某些程序（特别是使用了底层代码、旧版驱动或第三方钩子的程序）可能不兼容 CET，导致启动崩溃或出现异常。

为什么会出现异常？

当用户的系统启用 CET 并且某些程序无法适配这一新特性时，可能会发生崩溃或其他异常情况。为了避免这种问题，可能需要禁用 CET 的用户态影子栈（SS）。

2. 解决方案：禁用用户态影子栈

为了解决此问题，以下是禁用用户态影子栈的具体操作步骤。

2.1 使用命令禁用用户态影子栈

以管理员身份运行 CMD 或 PowerShell

打开命令提示符（CMD）或 PowerShell，并以管理员身份运行。
执行以下命令禁用用户态影子栈

在命令行中输入以下命令，将 用户态影子栈（SS） 强制关闭：
```
reg add "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Kernel" /v MitigationOptions /t REG_BINARY /d "0000000000000000000000000000002000" /f
```
该命令通过修改注册表来关闭所有进程的用户态影子栈（CET-SS）。
重新启动系统

运行完以上命令后，必须重启计算机才能使设置生效。

2.2 恢复默认设置

如果需要恢复为系统默认设置，即恢复用户态影子栈的启用状态，可以执行以下命令：

reg delete "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Kernel" /v MitigationOptions /f

同样，恢复后需要重启系统才能生效。

2.3 为单一程序禁用影子栈

如果问题仅出现在某个特定程序或应用中，您可以选择只为该程序禁用用户态影子栈，而不影响系统其他部分的安全性。具体步骤如下：

打开设置 → 应用 → 已安装应用。
选择问题程序，进入 高级选项。
找到 “Windows 安全” → 应用和浏览器控制 → 程序设置。
添加应用，并在 Exploit Protection 设置中选择禁用 用户态影子栈（User-mode Shadow Stack）。

这种方法可以将影子栈禁用的影响范围限定在单个程序上，从而最大限度地减少系统其他部分的安全风险。

例如针对 Windows 10 安装 powershell 7 后报错，可以按照下面步骤关闭用户态影子栈：

步骤	截图/命令	说明
1. 以管理员身份打开 Windows Terminal 或 PowerShell 5.1	开始菜单 → 输入 PowerShell → 右键 → “以管理员身份运行”	若使用 pwsh 自身会崩溃，因此必须用旧版 5.1 或 cmd。
2. 查询当前缓解策略	`Get-ProcessMitigation -Name pwsh.exe`	若看到 `UserShadowStack : ON` 即确认命中该问题。
3. 关闭 UserShadowStack	`Set-ProcessMitigation -Name pwsh.exe -Disable UserShadowStack`	命令瞬间完成，无报错即成功。
4. 验证结果	再次运行 `Get-ProcessMitigation -Name pwsh.exe`	`UserShadowStack` 应显示 `OFF`。
5. 重启 PowerShell 7	双击图标或输入 `pwsh`	正常出现版本提示符，崩溃消失。

原文 https://blog.csdn.net/2301_79518550/article/details/152163672