通过SEH 非inline hook

最新推荐文章于 2022-04-21 21:42:12 发布

pomelozero

最新推荐文章于 2022-04-21 21:42:12 发布

阅读量1.6k

点赞数

分类专栏：游戏

本文链接：https://blog.csdn.net/pomelozero/article/details/45059205

版权

SEH(Struct Exception Handler,结构化异常) VEH(Vector Exception Handler,向量异常处理)
SEH是OS提供给线程来感知和处理异常的一种回调机制。
在Intel Win32平台上，由于FS寄存器问题指向当前的TIB（线程信息块），因此FS:[0]处能找到最新的一个EXCEPTION_REGISTRATION_RECORD结构。
typedef struct _EXCEPTION_REGISTRATION_RECORD {
    struct _EXCEPTION_REGISTRATION_RECORD *Next;
    PEXCEPTION_ROUTINE Handler;
} EXCEPTION_REGISTRATION_RECORD;
EXCEPTION_ROUTINE (
    _Inout_ struct _EXCEPTION_RECORD *ExceptionRecord,
    _In_ PVOID EstablisherFrame,
    _Inout_ struct _CONTEXT *ContextRecord,
    _In_ PVOID DispatcherContext
    );

typedef EXCEPTION_ROUTINE *PEXCEPTION_ROUTINE;
typedef struct _EXCEPTION_RECORD {
    DWORD    ExceptionCode;
    DWORD ExceptionFlags;
    struct _EXCEPTION_RECORD *ExceptionRecord;
    PVOID ExceptionAddress;
    DWORD NumberParameters;
    ULONG_PTR ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
    } EXCEPTION_RECORD;

XP之后，在基于线程的SEH基础增加了基于进程的VEH
比较：
1.SEH基于线程，VEH基于进程
2.优先级：调试器 > VEH > SEH 即KiUserExceptionDispatcher()函数先检查进程是否处理调试，然后VEH,最后SEH.
3.SEH单链表，VEH双链表，VEH节点可挂在头上或尾上。
注册VEH的回调API：
PVOID WINAPI AddVectoredExceptionHandler(
__in ULONG FirstHandler,
__in PVECTORED_EXCEPTION_HANDLER VectoredHandler
);

IA-32处理器定义了8个调试寄存器（DR0-DR7) DR0-DR3用于指点内存地址或I/O地址 DR4-DR5保留，DR6事件发生报告详细信息,DR7定义中断条件。
硬件断点HOOK是结合DR0-DR3调试寄存器和Winows SEH或VEH机制所引入的HOOK机制，因不涉及修改代码，不易检验检测到。

//test.exe
#include <stdio.h>
#include <Windows.h>
#include <process.h>

DWORD Counter = 0;

unsigned __stdcall SecondThreadFunc( void* pArguments )
{
    while ( Counter < 2 )
	{