SEH

@author: dlive

SEH是Windows的异常处理机制,在程序源代码中使用__try,__catch,__finally关键字来具体实现。

但SEH与C++的try, catch异常处理不同,从时间上看,与C++的try, catch相比,微软先创建了SEH机制,然后才将它搭载到VC++中。

SEH大量应用于压缩器,保护器,恶意程序用来反调试

0x01 OS的异常处理方法

正常运行时的异常处理方法

若进程代码中有具体的异常处理代码,则能顺利处理相关异常,否则OS会启动默认的异常处理机制,终止进程运行

调试运行时的异常处理方法

被调试进程内部发生异常,OS会首先把异常交给调试器处理,若调试器不处理则异常交给被调试者处理,若仍不处理,最后由OS默认的异常处理机制处理。

(OD中使用shift+F7/F8/F9【step into/over/run】可以将当前异常抛还给被调试者)

0x02 常见异常

1.EXECPTION_ACCESS_VIOLATION (C0000005)

试图访问不存在或不具有访问权限的内存区域时,发生非法访异常

2.EXECPTION_BREAKPOINT(80000003)

调试器就是利用该异常实现断点功能的

3.EXCEPTION_ILLEGAL_INSTRUCTION(C000001D)

CPU遇到无法解析的指令时引发该异常。比如“0FFF“指令在x86 CPU中未定义,CPU遇到该指令将引发此异常。

4.EXCEPTION_INT_DIVIDE_BY_ZERO(C0000094)

除法中分母为0引发的异常

5.EXCEPTION_SINGLE_STEP(80000004)

CPU进入单步模式后,每执行一条指令就会引发EXCEPTION_SINGLE_STEP异常,暂停运行。

将EFLAGS寄存器的TF(Trap Flag, 陷阱标志位)位设置为1后,CPU就会进入单步工作模式。

0x03 SEH

SEH以链的形式存在,第一个异常处理器若未处理相关异常,它会被传递到下一个异常处理器,直到得到处理。

从技术层面上看,SEH是由_EXCEPTION_REGISTRATION_RECORD结构体组成的链表

typedef struct _EXCEPTION_REGISTRATION_RECORD
{
     PEXCEPTION_REGISTRATION_RECORD Next;
     PEXCEPTION_DISPOSITION Handler;
} EXCEPTION_REGISTRATION_RECORD, *PEXCEPTION_REGISTRATION_RECORD;

Next是指向下一个结构体的指针,Handler是异常处理函数的地址。若Next = FFFFFFFF,则表示它是最后一个节点。

异常处理函数声明如下

EXCEPTION_DISPOSITION _except_handler
(
  EXCEPTION_RECORD *pRecord,
  EXCEPTION_REGISTRATION_RECORD *pFrame,
  CONTEXT *pContext,
  PVOID pValue
);

返回值EXCEPTION_DISPOSITION为枚举类型,ExceptionContinueExecution(0)表示继续执行异常代码,ExceptionContinueSearch(1)表示运行下一个异常处理函数

函数的第一个参数为EXCEPTION_RECORD结构体指针

typedef _EXCEPTION_RECORD{
  DWORD ExceptionCode; //异常类型
  ...
  PVOID ExceptionAddress;// 异常发生的地址
}EXCEPTION_RECORD, *PEXCEPTION_RECORD;

函数的第三个参数为线程的上下文CONTEXT结构体,这个结构体在“调试钩取”部分介绍过。每个线程内部都拥有1个CONTEXT结构体。

在异常处理函数中将参数传递过来的CONTEXT.Eip设置为其他地址,然后返回异常处理函数。这样,之前暂停的线程会执行新设置的EIP处的代码(反调试中经常采用这一技术)

TEB.NtTib.ExceptionList(FS:0)存储着SEH链的地址,可以通过FS:[0]获得SEH地址。

0x04 调试SEH

使用OD运行seh.exe,找到用户自定义代码

这里使用一种新的方法定位用户代码,F9运行seh.exe弹出对话框,在OD中点击暂停(F12)

此时程序运行在MessageBox的代码区域,即在user32.dll的内存空间中运行。

使用alt+F9(mac为option+F9)快捷键,该快捷键功能为使程序继续运行直到用户代码空间。

这样EIP便回到用户代码空间中MessageBoxA调用结束的位置,这样就找到了用户代码。

1.查看SEH链

在OD数据窗口ctrl+G跟踪dword ptr fs:[0]

dword ptr fs:[0] == 0012FF78

将数据窗口调节为如下模式,可以看到OD生成对SEH的注释信息,0012FF78指向SEH链头结点

查看第一个SEH处理函数

该函数为VC++生成PE文件时默认添加到其启动函数的

接着查看SEH链中下一个启动函数

该SEH结点为SEH链中最后一个节点(Next=FFFFFFFF)SEH处理函数为ntdll.dll中定义的系统函数,这是OS的默认异常处理器,创建进程时OS会自动产生默认的SEH

2.添加SEH

图中前三行汇编代码即为SEH的安装代码,具体可参考图中注释,本质就是一个链表插入节点的操作

可以看到OD在栈上也会生成SEH的注释,ESP指向的为新SEH结构体中的Next成员变量,ESP+4指向的为SEH处理函数的地址

tips: OD自带查看SEH链功能

菜单中选择查看->SEH链

查看选项提供的功能还是很有用的

3.查看SEH异常处理函数参数

在所有SEH异常处理函数开头下断点,当发生异常时程序将在0040105A处断下

ESP+4指向EXCEPTION_RECORD结构体,结构体的第一个成员变量DWORD ExceptionCode的值为c0000005即EXCEPTION_ACCESS_VIOLATION异常

发生异常的地址PVOID ExceptionAddress为00401019

ESP+8指向EXCEPTION_REGISTRATION_RECORD结构体,其值为0012FF78,它是SEH的起始地址

ESP+C为第三个参数,它指向CONTEXT结构体,该结构体中存储着线程上下文信息,CONTEXT.Eip(Address of CONTEXT + 0xB8)为发生异常的代码地址值为00401019

ESP+10为第四个参数,它供系统使用,可忽略

4.调试异常处理函数代码

前面的内容明白了之后看这段代码还是非常简单的,注释部分详细描述了该代码的功能(这是一种常见的反调试方法)

代码最后return 0表示ExceptionContuineExecution表示异常得到处理,相关线程可以继续执行

00401023和00401039分别是如下两段代码

这里有几个需要重视的地址:

FS:[30] -> PEB的地址

PEB + 0x02 -> PEB.BeingDebugged的地址

CONTEXT + 0xB8 -> CONTEXT.Eip的地址

运行到ret指令后,异常处理函数结束,控制权返回到ntdll.dll模块的代码区域,它属于系统区域,ALT+F9(MAC为OPTION+F9),运行到用户代码区域可以看到运行至00401023处

好吧,alt+f9不行,好像是因为多线程的原因,ntdll.dll代码空间中调用了ZwContinue恢复线程运行(跟进ZwContinue发现最后使用了系统调用),所以需要手动在00401023处下断点才能断下

5.删除SEH

执行完MessageBox之后执行如上0040104D处代码

执行fs:[0] = Next,之后清理栈空间(add esp,4),最后ret

tips2: OD调试选项之异常

勾选上忽略异常之后,被调试者若发生如上异常,调试器会直接将这些异常交给被调试者的异常处理程序处理,无需使用Shift+F7/F8/F9进行手动忽略

posted @ 2017-03-02 21:08 dlive 阅读(...) 评论(...) 编辑 收藏