咨询RtlAddFunctionTable与RtlInsertInvertedFunctionTable的功能区别

• 公开性与兼容性

  • RtlAddFunctionTable是Windows官方公开的API，在ntdll.h中有明确声明，全版本支持SEH的Windows系统都可稳定调用，具备完善的官方文档，是动态注册函数表处理SEH异常的标准方案。
  • RtlInsertInvertedFunctionTable是未公开的内部函数，无官方文档支撑，仅存在于特定版本的ntdll.dll中，依赖它属于调用系统未公开实现，系统版本更新后大概率会失效，绝不建议用于生产环境。

• 函数表结构与查找逻辑

  • RtlAddFunctionTable接收标准的UNWIND_INFO结构数组，这是Windows SEH机制中用于异常回溯的标准结构，函数会将这些表注册到系统全局函数表列表，异常处理时系统会线性遍历该列表匹配地址。
  • RtlInsertInvertedFunctionTable处理的是反向函数表，表项按函数地址范围逆序存储，目的是通过二分查找快速定位对应的unwind信息，相比标准表的线性遍历，查找效率更高——这也是系统内部使用它的核心原因，但外部开发者无法获取该表的官方结构定义。

• 使用场景与风险

  • RtlAddFunctionTable适配绝大多数自定义加载器、动态代码生成场景，比如手动映射PE模块时，只需提供符合标准的UNWIND_INFO，就能让系统正确处理模块内的SEH异常，后续还可通过RtlDeleteFunctionTable安全移除注册的表。
  • RtlInsertInvertedFunctionTable仅用于系统内部组件优化异常回溯性能，外部调用风险极高：不仅没有对应的公开删除接口，系统内部对反向表的维护逻辑也不透明，强行调用可能引发内存泄漏、异常处理逻辑崩溃等不可控问题。

内容的提问来源于stack exchange，提问作者xmr21