SEH异常之编译器原理探究

红队蓝军

于 2022-09-14 13:19:15 发布

阅读量798

点赞数 2

文章标签：开发语言 microsoft windows 系统安全

本文链接：https://blog.csdn.net/hongduilanjun/article/details/126850702

版权

本文深入探讨了Windows系统下的SEH（Structured Exception Handling）异常处理机制，包括&_try_except_、&_try_finally_原理，异常处理函数的注册与执行流程，以及未处理异常的处理方式，如UnhandledExceptionFilter和线程启动时的安全防护措施。

摘要由CSDN通过智能技术生成

_try_except原理

调用_except_handle3这个异常处理函数，这里并不是每个编译器的异常处理函数都是相同的，然后存入结构体，将esp的值赋给fs:[0]，再就是提升堆栈的操作

每个使用 _try _except的函数，不管其内部嵌套或反复使用多少_try _except，都只注册一遍，即只将一个 _EXCEPTION_REGISTRATION_RECORD 挂入当前线程的异常链表中(对于递归函数，每一次调用都会创建一个 _EXCEPTION_REGISTRATION_RECORD，并挂入线程的异常链表中)。

typedef struct _EXCEPTION_REGISTRATION_RECORD {

    struct _EXCEPTION_REGISTRATION_RECORD *Next;

    PEXCEPTION_ROUTINE Handler;

  } EXCEPTION_REGISTRATION_RECORD;

可以看到只有一个异常处理函数

那么这里编译器是如何做到只用一个异常处理函数的呢？编译器把原来_EXCEPTION_REGISTRATION_RECORD结构进行了拓展，添加了三个成员

struct _EXCEPTION_REGISTRATION{
        struct _EXCEPTION_REGISTRATION *prev;
        void (*handler)(PEXCEPTION_RECORD, PEXCEPTION_REGISTRATION, PCONTEXT, PEXCEPTION_RECORD);
        struct scopetable_entry *scopetable;
        int trylevel;
        int _ebp;
    };

新堆栈结构如下

scopetable

struct scopetable_entry
{
       DWORD previousTryLevel  //上一个try{}结构编号 
       PDWRD        lpfnFilter         //过滤函数的起始地址
       PDWRD        lpfnHandler    //异常处理程序的地址     
}

查看地址可以发现有三个结构体