VEH中的陷阱

最新推荐文章于 2023-10-16 10:29:07 发布
原创 最新推荐文章于 2023-10-16 10:29:07 发布 · 9.5k 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#exception #pointers #search #integer #编程 #crash

这篇博客探讨了VEH（ vectored exception handling）在编程中的潜在问题和使用注意事项。作者强调了防御性编程的重要性，指出即使在调试器存在的情况下，也应该依赖SEH处理异常。VEH的正确使用方式是仅处理预期的异常，其他异常应让传统机制处理。文章还讨论了如何通过嵌套VEH来尝试创建平衡，但警告这种方式复杂且不如同SEH强大。结论是，尽管VEH有其功能，但在与大量已存在的SEH代码配合时，应谨慎使用VEH。

最初发在QQ空间，转到这：http://user.qzone.qq.com/31731705/blog/1314257137

前面从理论（VEH中的陷阱（上））和实际（VEH中的陷阱（下））研究了VEH中存在的问题，那么，VEH的使用过程中有哪些注意事项？

1. 防御性编程

如果异常的目的是和调试器通信，首先应该检测调试器的存在。并且即使调试器存在的情况下，也必须使用SEH去处理自己抛出的异常，不能去指望调试器一定会处理这个异常。代码类似这样，




                

        

    



  


        

            

                      
                        最低0.47元/天 解锁文章
                          
                      
            

        


    



                



	

		

			

				
					
SE80 Repository Information System 在 SAP CRM WebClient UI 组件分析中的实战指南

				
			

			

				

					2007 年 ~ 2025 年，深耕 SAP 技术 18 年
				

				

					07-21
					
					1425
					
				

			

		

		

			
				
在 SAP CRM WebClient UI 开发过程中，如何快速定位组件、视图、上下文节点以及各类运行时对象，一直是调试效率的关键。（后文简称RIS）正是隐藏在SE80里的瑞士军刀，帮助开发者按照组件集、数据元素、上下文节点属性等多维条件进行交叉检索。官方博客将它描述为本文结合多年项目经验，系统梳理RIS的功能脉络与实战技巧，同时引入真实案例，示范如何借助它在几分钟内完成以往动辄数小时的排查任务。

			
		

	



                

            
              



	

		

			

				
					
VEH HOOK

				
			

			

				

					Cosmopolitan的博客
				

				

					05-17
					
					1323
					
				

			

		

		

			
				
VEH实现不修改代码HOOK函数，基本原理：在对应函数上触发异常（0xCC，硬件断点）然后VEH处理异常实现HOOK
异常处理函数，修改传入的参数值
LONG CALLBACK VEH2(struct _EXCEPTION_POINTERS* pEP){
    printf(("VEH2 Do something HOOK\n"));
    //以下的注释，可以取消以观察不同的输出结果
    if ((STATUS_SINGLE_STEP == pEP->ExceptionRecord->

			
		

	



              


  
              

                


	

		

			

				
					
内核学习——VEH / SEH

				
			

			

				

					q1uTruth的博客
				

				

					08-29
					
					1433
					
				

			

		

		

			
				
VEH全局链表：与线程无关
在这里插入代码片

SEH局部链表：在堆栈中
在这里插入代码片


ExceptionRecord结构体


异常结构体要在当前线程








汇编就只有一个


原结构体（基础结构体）

优化(debug,release，堆栈方式等)少因为要维持堆栈结构


ebp当前堆栈栈底

几个try几个成员，存的是地址
再嵌套一个level是2
结合原始过程分析
这里自...

			
		

	





	

		

			

				
					
4.VEH（向量化异常处理）

				
			

			

				

					My classmates
				

				

					10-30
					
					7100
					
				

			

		

		

			
				
当用户异常产生后,内核函数KiDispatchException并不是像处理内核异常那样在0环直接进行处理,而是修正3环EIP为KiUserExceptionDispatcher函数后就结束了。
这样,当线程再次回到3环时,将会从KiUserExceptionDispatcher函数开始执行。
(ntdll.dll) KiUserExceptionDispatcher函数分析

调用 RtIDis...

			
		

	



		

			
		



	

		

			

				
					
VEH hook

				
			

			

				

					weixin_50217210的博客
				

				

					10-16
					
					744
					
				

			

		

		

			
				
终止当前程序的执行-->调试器（进程必须被调试，向调试器发送EXCEPTION_DEBUG_EVENT消息）-->执行VEH-->执行SEH-->TopLevelEH(进程调试时不会被执行）-->执行VEH-->交给调试器（上面的异常处理都说处理不了，就再次交给调试器）-->调用异常端口通知csrss.exe。思路就是不断改变某一块内存属性，当执行命令或者某些操作的时候，执行的内存属性是可执行的，当功能模块进入睡眠的时候将内存属性改为不可执行。然后就是注册异常函数，这个异常函数就是为了恢复可执行内存属性。

			
		

	





	

		

			

				
					
游戏逆向-2.2VEH+软件/硬件断点实现hook

				
			

			

				

					qq_41709308的博客
				

				

					03-08
					
					4750
					
				

			

		

		

			
				
这里设置4个硬件断点后，还可以通过int 3实现软件断点，软件断点的优点在于只破坏一个字节，同时理论上可以下无限多个hook，而硬件断点只限制在四个，当然除了int 3等，还可以通过设置Page_NoAccess达到异常hook，文章中就不再讲述另外的异常hook，如读者有兴趣了解更多可以自行补充，另外上一章的inline hook和软件断点将会留在2.3章实战中演示具体操作。

			
		

	





	

		

			

				
					
VEH +硬件断点 HOOK

				
			

			

				

					落笔飞花笑百生的博客
				

				

					04-27
					
					7951
					
				

			

		

		

			
				

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "stdafx.h"
#include "windows.h"
#include 
#include 
#include 
#pragma comment(lib, "d3d9.lib")
#pragma comment (lib,"d3dx9.lib")
#pragma comment 

			
		

	





	

		

			

				
					
基于VEH&调试寄存器实现无痕HOOK（5）

				
			

			

				

					m0_64973256的博客
				

				

					12-30
					
					2880
					
				

			

		

		

			
				
Windows操作系统中存在多种异常处理，我们现在需要的是其中的VEH

			
		

	





	

		

			

				
					
CC断点异常veh怎么捕获

					
最新发布

				
			

			

				

					08-30
				

			

		

		

			
				
如果是在内核模式，应该使用Vectored Exception Handler（内核中对应的是AddVectoredExceptionHandler，但注意内核中通常使用结构化异常处理SEH或C异常处理，而VEH是用户模式的概念）。   但是，问题中提到“CC断点...

			
		

	





	

		

			

				
					
基于VEH与硬件断点的无痕HOOK技术实现解析

				
			

			

				

					
				

			

		

		

			
				
该项目代码的价值在于提供了一个完整的实践范例，涵盖了从线程枚举、断点设置、VEH注册到异常处理全流程的实现细节，并总结了常见陷阱及其解决方案，对于从事安全研究、逆向分析或系统级开发的技术人员具有极高的...

			
		

	





	

		

			

				
					
VEH硬件断点劫持

				
			

			

				

					07-17
				

			

		

		

			
				
VEH-硬件断点+dll劫持内存补丁vs2008源码

			
		

	





	

		

			

				
					
利用硬断+VEH实现APIHOOK源码-易语言

				
			

			

				

					06-12
				

			

		

		

			
				
由于E写的可能有点特殊错误 所以附上C源码和C编译的DLL一份 DLL要用动态调用 E不支持Cdecl
Context->Dr7是一个很好玩的东东 还有很多好玩的用法详细的请自行百度
代码里有一点点注释将就着看吧 原理也很简单 可以指定HOOK某线程调用某API大牛就别来吐槽了
只在XP WIN7 X32 下测试通过

			
		

	





	

		

			

				
					
e语言-利用硬断 VEH实现APIHOOK

				
			

			

				

					08-23
				

			

		

		

			
				
由于E写的可能有点特殊错误 所以附上C源码和C编译的DLL一份 DLL要用动态调用 E不支持CdeclContext->Dr7是一个很好玩的东东 还有很多好玩的用法详细的请自行百度 代码里有一点点注释将就着看吧 原理也很简单 可以指定HOOK某线程调用某API  大牛就别来吐槽了 - -转来的哦只在XP WIN7 X32 下测试通过

			
		

	





	

		

			

				
					
CE-VEH下段崩溃处理.e

				
			

			

				

					02-15
				

			

		

		

			
				
最新  CE  VEH下段处理  源码  win7  win110  都测试过了  全部可以正常使用
声明：个别win10不能使用的话   请自己换系统   谢谢 

			
		

	





	

		

			

				
					
易语言-利用硬断+VEH实现APIHOOK

				
			

			

				

					06-25
				

			

		

		

			
				
由于E写的可能有点特殊错误 所以附上C源码和C编译的DLL一份 DLL要用动态调用 E不支持Cdecl
Context->Dr7是一个很好玩的东东 还有很多好玩的用法详细的请自行百度
代码里有一点点注释将就着看吧 原理也很简单 可以指定HOOK某线程调用某API  大牛就别来吐槽了
- -转来的哦
只在XP WIN7 X32 下测试通过

			
		

	





	

		

			

				
					
WIN10使用VEH+硬件断点实现不修改代码完成破解

				
			

			

				

					hambaga的博客
				

				

					09-01
					
					4841
					
				

			

		

		

			
				
为什么要使用硬件断点？
有些程序会启动一个线程，实时检测代码节是否被修改，这样可以防止作弊者使用OD调试程序时下CC断点，这种技术叫全代码检测或CRC检测。为了绕过这种检测，大佬们想出了很多办法：

干掉CRC线程
干掉CRC函数的判断
绕过CRC检测的位置，到更底层去修改
硬件HOOK
其他HOOK，欺骗CRC检测函数（虚表HOOK）
干掉退出函数（ExitProcess）

本文介绍的是硬件断点（硬件HOOK）。
硬件断点原理
当执行到某个指令，DR0寄存器中存储了这条指令的地址，就会触发异常。如果使用

			
		

	





	

		

			

				
					
异常与调试之SEH、UEH、VEH、VCH以及SEH的区别总结——简单好理解

				
			

			

				

					TCP_321的博客
				

				

					12-08
					
					7319
					
				

			

		

		

			
				
1.VEH (向量异常)

// VEH: 向量化异常处理的一种，被保存在一个全局的链表中，进程内的所有线程都可

// 以使用这个函数，是第一个处理异常的函数。

异常处理函数：

LONG NTAPI AddVectoredExceptionHandler(

 _In_UlON First,

异常处理函数被调用的顺序

 _In_PVECTORED_EXECUTE_HANDLER Handler

异常处理回调函数

 ）

AddVectoredExceptionHandler(TRUE...

			
		

	





	

		

			

				
					
VEH+硬件断点实现无痕HOOK

					
热门推荐

				
			

			

				

					鬼手的博客  
				

				

					09-24
					
					1万+
					
				

			

		

		

			
				
文章目录hook的分类硬件断点hook原理设置硬件断点注册VEH代码实现VEH无痕Hook说说一路踩过的坑实际效果小结关于veh hook的对抗参考文章参考文章
hook的分类
hook方式有多种，这里做了一个系统性的总结对比，如下：

实际上第二种和第三种属于同一类型的hook，都是利用异常处理函数来处理，只是触发异常的方式不同
硬件断点hook原理
想要实现硬件断点hook，需要实现下面几个步骤

设置硬件断点
注册veh异常处理函数
编写异常处理函数，实现自己的hook代码

设置硬件断点
首先来说一

			
		

	





	

		

			

				
					
VEH和VCH科普

				
			

			

				

					mqzzqian的专栏
				

				

					06-08
					
					5148
					
				

			

		

		

			
				
本文转自梦织未来(www.mengwuji.net)
地址：http://www.mengwuji.net/forum.php?mod=viewthread&tid=1371
作者：mengwuji
很久没发帖子了，痛苦的失眠，就顺便来讲讲VEH这玩意儿。
一般，再好的程序员，也不能说自己写出的代码是没bug的、执行后不会产生异常。所以呢，好的程序员总会在可能认为会出现异常问题的那段代码加

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

  
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值