软件漏洞分析入门（五）

关注

原创 2022-07-12 14:30:41 1.4k 阅读 AI 写同款· GEO 优化 ›

突破SafeSEH机制之一——利用堆绕过SafeSEH 文章是发在吾爱破解的，这里直接转过来了我也是个新手，刚学漏洞调试，发现要学的东西太多，想要把漏洞学好，必须精通各类系统底层机制，汇编，PE等等等等太多太多，所以不可能把这些东西都学会了，再去调试漏洞，只能一步步慢慢从简单开始，另外也要学会忽略那些你现在所力不能及的地方，如果实在不懂，就跳过，可能到哪一天你忽然就明白了。所以这里，也是希望同学们想学习的不要被这个东西吓到，静下心来慢慢看，如果有不阅读详情

异常机制探索

异常实现机制

程序在运行的时候，经常会遇到各种各样的错误，为了程序以及系统遇到错误的时候也保持好的健壮性，异常处理机制应运而生

异常处理机制简单来说，就是当异常发生的时候，系统先抛出异常，程序先检查一遍，看看自己有没有能处理这种异常的函数，能处理固然好，如果不能处理的话就继续传给系统，即默认异常处理，随机终止进程

SEH，Structure Exception Handler，异常处理结构体，是一种 Windows 在异常处理中用到的一种数据结构。SEH 包含一个 SEH 链表指针以及应该异常处理函数句柄，栈中的多个 SEH 通过链表指针在栈内由栈顶向栈底串成单向链表，位于链表最顶端的 SEH 通过 TEB（线程环境块）0 字节偏移处的指针标识。下面我们分别实验几种不同的异常处理器的注册方式

使用C语言添加SEH

C语言中添加一个异常处理器非常简单，只用 __try 将要检查的代码包起来，在 __except 中编写异常处理代码，形如：

__try{
// 监控的代码
}	
__except ( expression ){
// 异常处理代码
}

下面是使用C语言注册异常处理器的一个代码实例

#include <stdio.h> 
#include <windows.h> 
int main(){
int a =0, b =1, c =0;
 __try
{
  c = b / a;//触发除零异常
}

__except(EXCEPTION_EXECUTE_HANDLER)
{
  MessageBox(NULL, TEXT("integer divide by zero."),
  //弹窗提示除0异常
  TEXT("ERROR"), MB_OK);
   //scanf("%d",&a);;
   a =1; //修正除0错误
   c = b / a;
}
printf("b / a = %d\n", c);
printf("sucess\n");
system("pause");
return 0;
}

弹窗如图所示

抛出异常之后自动处理异常，解决掉除0的问题

使用内联汇编块注册SEH

下面是使用汇编嵌入式注册SEH的实例代码

#include <stdio.h>
#include <windows.h>

char pw[10] = "SEH";
char input[1024] = {0};

//异常处理函数
EXCEPTION_DISPOSITION
__cdecl
_except_handler( struct _EXCEPTION_RECORD *ExceptionRecord,
                void * EstablisherFrame,
                struct _CONTEXT *ContextRecord,
                void * DispatcherContext )
{
	//异常处理函数逻辑
	if(strcmp(input, pw) == 0){
		printf("ok, you are here. Congratulation!\n");
		system("pause");
	    exit(0);//完成口令匹配后结束进程——否则因为没有对异常代码进行处理，所以该进程会一直在触发异常和异常处理之间循环。
	}
	else{
		printf("ok, you are here. But your pw is wrong!\n");
	}
	
	
	//返回，告知os继续执行异常代码
	return ExceptionContinueExecution;
}


int main(){

	int a = 1, c = 0;

	int res;

	printf("please input password : ");
	scanf("%s", input);

	DWORD handler = (DWORD)_except_handler;

	//注册异常处理函数
	__asm{
		push handler;
		push FS:[0];
		mov FS:[0], ESP;
	}

	//设计的除零异常
	res = a / c;

	//如果不处理异常则会运行至此
	printf("What a pity, you found a wrong way.\n");
	system("pause");
	return -1;
}

我们把汇编注册SEH的代码块拎出来

DWORD handler = (DWORD)_except_handler;
//注册异常处理函数
__asm{
	push handler;
	push FS:[0];
    mov FS:[0], ESP;
}

结合上面的完整代码，可以看出来，这段汇编的作用就是把 handler 这个 DWORD 数据类型给压入栈，也就是把我们上面写的异常处理函数地址先压入栈，然后把SEH链表的表头压入栈，然后再在把表头 FS:[0] 修改为当前ESP的地址，这个指针 FS:[0] 指向的位置就是 TEB（线程环境块） 的首地址，相当于是在SEH链表里面插入一个程序自定义的异常处理函数

实际上我们如果用 VS2010 编译这个代码，这个内联的SEH注册汇编代码块会注册失败，我们不管输入什么都会回显 What a pity, you found a wrong way.

这是因为 VS2010 使用的平台工具集默认是 v100，就算往前选一个历史版本也是v90，而我们需要的编译器版本是 VC6.0，我们转到 VC++ 6.0 编译一下相同的代码

运行编译好的程序，随便输入一个错误的 777777

这里是因为进入异常处理函数里面的错误分支之后没有中断，所以一直循环，我们输入正确密码 SEH

SetUnhandledExceptionFilter函数设置自定义的异常处理器

为了使程序逻辑比普通的反调试更加复杂，混淆，更难被调试，我们可以使用 SetUnhandledExceptionFilter() 函数设置自定义异常处理器，这个函数的作用是将默认异常处理器设置为自定义的异常处理器，而且只有在非调试状态下才会被调用，下面贴出实例代码

#include <stdio.h>
#include <windows.h>

char pw[10] = "SEH";
char input[1024] = {0};

EXCEPTION_DISPOSITION
__cdecl
_except_handler( struct _EXCEPTION_RECORD *ExceptionRecord,
                void * EstablisherFrame,
                struct _CONTEXT *ContextRecord,
                void * DispatcherContext )
{
	if(strcmp(input, pw) == 0){
		printf("ok, you are here. Congratulation!\n");
	}
	else{
		printf("ok, you are here. But your pw is wrong!\n");
	}
	system("pause");
	exit(0);


	return ExceptionContinueExecution;
}

int main(){

	int a = 1, c = 0;

	int res;

	printf("please input password : ");
	scanf("%s", input);

	SetUnhandledExceptionFilter((LPTOP_LEVEL_EXCEPTION_FILTER )_except_handler);

	res = a / c;

	printf("What a pity, you found a wrong way.\n");
	system("pause");
	return -1;
}