SEH原理剖析

最新推荐文章于 2023-05-21 21:02:26 发布

原创最新推荐文章于 2023-05-21 21:02:26 发布 · 1.5k 阅读

0 ·

CC 4.0 BY-SA版权

windows安全编程专栏收录该内容

4 篇文章

订阅专栏

本文深入探讨了Windows操作系统的结构化异常处理（SEH）机制，包括TEB数据结构、异常链表的工作原理，以及如何手动注册和处理异常。示例代码展示了如何创建SEH节点、抛出异常以及从异常链中移除SEH节点的过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

用户层数据结构 TEB
TEB 第一个字段是NtTib,NtTib的第一个字段ExceptionList是一个链表的头结点的首
地址.
当产生异常,系统会通过FS:[0]找到这个链表,依次调用处理异常.
typedef struct _EXCEPTION_REGISTRATION_RECORD{
struct _EXCEPTION_REGISTRATION_RECORD* next; //下一个seh
PEXCEPTION_ROUTINE Handler; //异常处理函数
}EXCEPTION_REGISTRATION_RECORD
SEH函数原型
LONG NTAPI sehExcept(
_Inout_struct_EXCEPTION_RECORD* ExceptionRecord; //异常信息
_In_PVOID EstablisherFrame;
_Inout_struct_CONTEXT* ContextRecord; //寄存器状态信息
_In_PVOID DispatcherContext);
//手工注册SEH
//代码实现
LONG NTAPI sehExcept(
_Inout_struct_EXCEPTION_RECORD* ExceptionRecord; //异常信息
_In_PVOID EstablisherFrame;
_Inout_struct_CONTEXT* ContextRecord; //寄存器状态信息
_In_PVOID DispatcherContext)
{
printf(“123456”);
return 0;
}
void fun()
{
EXCEPTION_REGISTRATION_RECORD sehNode; //新SEH
//将异常过滤函数保存到节点中
sehNode.Handler = (PEXCEPTION_ROUTINE)seExcept;
sehNode.Next = 0;
//获取旧的SEH头结点
_asm mov eax,DWORD PTR FS:[0];
//将旧的SEH头结点的地址保存待Next中
_asm mov DWORD PTR DS:[sehNode.Next],eax;
//将新结点的首地址保存大FS:[0]
_asm lea eax,sehNode;
_asm mov FS:[0],eax;
//抛出异常
(int)0 = 0;
//从异常链中删除本次的SEH结点
_asm mov eax,DOWRD PTR DS:[sehNode.Next];
_asm mov fs:[0],eax;
}
int main()
{
__try{
fun()
}
__except(1)
{
}
}