SEH原理剖析

最新推荐文章于 2023-05-21 21:02:26 发布

mslieng1011

最新推荐文章于 2023-05-21 21:02:26 发布

阅读量1.4k

点赞数

分类专栏： windows安全编程

本文链接：https://blog.csdn.net/mslieng1011/article/details/78453318

版权

本文深入探讨了Windows操作系统的结构化异常处理（SEH）机制，包括TEB数据结构、异常链表的工作原理，以及如何手动注册和处理异常。示例代码展示了如何创建SEH节点、抛出异常以及从异常链中移除SEH节点的过程。

摘要由CSDN通过智能技术生成

用户层数据结构 TEB
TEB 第一个字段是NtTib,NtTib的第一个字段ExceptionList是一个链表的头结点的首
地址.
当产生异常,系统会通过FS:[0]找到这个链表,依次调用处理异常.
typedef struct _EXCEPTION_REGISTRATION_RECORD{
struct _EXCEPTION_REGISTRATION_RECORD* next; //下一个seh
PEXCEPTION_ROUTINE Handler; //异常处理函数
}EXCEPTION_REGISTRATION_RECORD
SEH函数原型
LONG NTAPI sehExcept(
_Inout_struct_EXCEPTION_RECORD* ExceptionRecord; //异常信息
_In_PVOID EstablisherFrame;
_Inout_struct_CONTEXT* ContextRecord; //寄存器状态信息
_In_PVOID DispatcherContext);
//手工注册SEH
//代码实现
LONG NTAPI sehExcept(
_Inout_struct_EXCEPTION_RECORD* ExceptionRecord; //异常信息
_In_PVOID EstablisherFrame;
_Inout_struct_CONTEXT* ContextRecord; //寄存器状态信息
_In_PVOID DispatcherContext)
{
printf(“123456”);
return 0;
}
void fun()
{
EXCEPTION_REGISTRATION_RECORD sehNode; //新SEH
//将异常过滤函数保存到节点中
sehNode.Handler = (P