【Windows系统编程】08.异常处理与异常Hook（软件断点Hook，硬件断点Hook）

已于 2023-08-29 19:37:59 修改
阅读量800 收藏 2
点赞数 2
分类专栏： Windows系统编程 文章标签： windows 安全
于 2023-08-19 21:19:56 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_73985089/article/details/132384370
版权

文章目录

异常处理

1.结构化异常SEH

#include <iostream>

int main()
{
    goto Exit;
    __try {
        //受保护节
        int a = 0;
        int b = 0;
        int c = a / b;
        std::cout << "触发异常" << std::endl;
    }
    /*
    EXCEPTION_CONTINUE_EXECUTION (-1) 异常已消除。 从出现异常的点继续执行。
    EXCEPTION_CONTINUE_SEARCH (0) 无法识别异常。 继续向上搜索堆栈查找处理程序，首先是所在的 try-except 语句，然后是具有下一个最高优先级的处理程序。
    EXCEPTION_EXECUTE_HANDLER (1) 异常可识别
    */
    //__except (1){
    //    std::cout << "SEH 异常" << std::endl;
    //}
    __finally {
        //终止处理程序，如果程序异常退出，将会执行
        std::cout << "异常退出" << std::endl;
    }
    std::cout << "程序即将退出" << std::endl;
Exit:
    std::cout << "正常退出" << std::endl;
}

2.向量化异常VEH:

_EXCEPTION_POINTERS：包含一个异常记录，其中包含异常的计算机独立描述，以及一个上下文记录。

typedef struct _EXCEPTION_POINTERS {
  PEXCEPTION_RECORD ExceptionRecord;
  PCONTEXT          ContextRecord;
} EXCEPTION_POINTERS, *PEXCEPTION_POINTERS;

ExceptionRecord：

其中，ExceptionRecord指向了有关异常说明的PEXCEPTION_RECORD结构体指针：

typedef struct _EXCEPTION_RECORD {
  DWORD                    ExceptionCode;
  DWORD                    ExceptionFlags;
  struct _EXCEPTION_RECORD *ExceptionRecord;
  PVOID                    ExceptionAddress;
  DWORD                    NumberParameters;
  ULONG_PTR                ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;

其中，Exception：发生异常的原因，这是由硬件异常生成的代码，常见错误都有宏

ExceptionFlags：异常标志

ExceptionRecord：指向相关联的指针，这是一个链状结构

ExceptionAddress：发生异常的地址

NumberParameters：与一场关联的参数的个数

ExceptionInformation：描述异常的其他参数的数组

ContextRecord：

其中ContextRecord指向了发生异常时，处理器状态的说明（上下文）

#include <iostream>
#include <Windows.h>

LONG MyVEHCallBack(
	struct _EXCEPTION_POINTERS *ExceptionInfo
) {
	//向量化异常需要我们自己选择处理方式，以及是否回去
	//异常代码
	DWORD dwCode = ExceptionInfo->ExceptionRecord->ExceptionCode;
	//判断接收到的是什么异常
	if (dwCode == EXCEPTION_BREAKPOINT) {
		//异常处理
		std::cout << "This is Int3" << std::endl;
		system("pause");
		//我们这里想处理异常后，回去，继续执行后面的代码
		//EIP 指令指针寄存器，保存了下一行要执行的位置
		//我们将EIP+1，就会执行后面的代码了
		ExceptionInfo->ContextRecord->Eip += 1;
		//返回，继续执行
		return EXCEPTION_CONTINUE_EXECUTION;
	}
	return EXCEPTION_CONTINUE_EXECUTION;
	return 0;
}

int main()
{
	/*
	//线程上下文获取
	CONTEXT ctx;
	GetThreadContext(GetCurrentThread(), &ctx);
	//设置线程上下文
	ctx.Dr0 = 111;
	SetThreadContext(GetCurrentThread(), &ctx);
	*/

	//注册向量异常处理程序
	AddVectoredExceptionHandler(
		0,      //调用处理程序的顺序，程序第一个处理异常还是最后处理异常
		(PVECTORED_EXCEPTION_HANDLER)MyVEHCallBack   //指向要调用处理程序的指针，实际上就是我们定义的处理异常函数
	);

	//这里我们使用汇编，触发一个int3断点
	//int3 软件断点 0xCC
	_asm {
		int 3
	}

	std::cout << "异常之后的代码" << std::endl;

	system("pause");
	return 0;
}

异常Hook：

会了异常处理，这里我们来看一种基于异常的Hook：

VEH软件断点HOOK

思路：我们将API实现的第一个字节改为int3断点，然后我们捕获异常，处理这个异常，将API参数修改掉

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "pch.h"

ULONG_PTR MessageBoxProc = (ULONG_PTR)GetProcAddress(GetModuleHandle(L"User32.dll"), "MessageBoxW");

struct _EXECEPTION_HOOK {
	//保存要Hook的地址
	ULONG_PTR ExceptionAddress;
	//原来位置的代码/硬编码
	UCHAR OldCode;
};

_EXECEPTION_HOOK HookInfo;

//这里实际上是设置int3断点
VOID SetVEHHook(ULONG_PTR ProcAddress) {
	DWORD dwProtect = 0;
	VirtualProtect((LPVOID)ProcAddress, 1, PAGE_EXECUTE_READWRITE, &dwProtect);
	//要Hook的地址，就是我们获取的API函数地址
	HookInfo.ExceptionAddress = ProcAddress;
	//函数地址上取一字节，就是原来的硬编码
	HookInfo.OldCode = *(UCHAR*)ProcAddress;
	//将函数内部第一个字节修改位int3
	*(UCHAR*)ProcAddress = 0xCC;
	//修复内存保护属性
	VirtualProtect((LPVOID)ProcAddress, 1, dwProtect, &dwProtect);
}

//这里才是真正的Hook（修改API参数）
LONG VEHHook(
	struct _EXCEPTION_POINTERS *ExceptionInfo
) {
	if (ExceptionInfo->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT) {
		if ((ULONG_PTR)ExceptionInfo->ExceptionRecord->ExceptionAddress == HookInfo.ExceptionAddress) {
			const WCHAR* szStr = L"我被Hook了";
			*(DWORD*)(ExceptionInfo->ContextRecord->Esp + 8) = (DWORD)szStr;
			ExceptionInfo->ContextRecord->Eip += 2;
			return EXCEPTION_CONTINUE_EXECUTION;
		}
	}
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
		AddVectoredExceptionHandler(1, (PVECTORED_EXCEPTION_HANDLER)VEHHook);
		SetVEHHook(MessageBoxProc);
		break;
    case DLL_THREAD_ATTACH:
		break;
    case DLL_THREAD_DETACH:
		break;
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

Hook测试：

先运行目标程序（前面讲InlineHook的时候有源码）

注入我们刚生成的dll：

注入dll
Hook成功：

Hook成功

VEH硬件断点HOOK

断点寄存器

下断点需要保存地址：保存到DR0~DR3（断点地址寄存器）

开关：DR7 ： 07（L：局部，G：全局）03对应DR0~3

类型：R/W读写域 0~3 （DR0~DR3）占两位

四种状态：

00：执行时断下来（硬件执行断点）

01：写数据的时候断下来（硬件写入断点）

10：I/O终端

11：读写数据的时候都断，但是读指令不断（硬件访问断点）


长度LEN域03(DR0DR3）

四种状态

00：断点一字节长

01：断点2字节长

10：断点8字节长

11：断点4字节长


GD：启用访问检测功能：

如果开启了此位，当修改DR系列寄存器的时候，CPU会触发异常


DR6：

B0~B3：某一组

如果B0被设置为1，说明DR0的R/W，LEN位都被满足条件了

VEH硬件断点优势：不修改内存，如果有内存检测，就不会触发

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "pch.h"

ULONG_PTR MessageBoxProc = (ULONG_PTR)GetProcAddress(GetModuleHandle(L"User32.dll"), "MessageBoxW");

struct _EXECEPTION_HOOK {
	//保存要Hook的地址
	ULONG_PTR ExceptionAddress;
	//原来位置的代码/硬编码
	UCHAR OldCode;
};

_EXECEPTION_HOOK HookInfo;

//这里实际上是设置int3断点
VOID SetVEHHook(ULONG_PTR ProcAddress) {
	DWORD dwProtect = 0;
	VirtualProtect((LPVOID)ProcAddress, 1, PAGE_EXECUTE_READWRITE, &dwProtect);
	//要Hook的地址，就是我们获取的API函数地址
	HookInfo.ExceptionAddress = ProcAddress;
	//函数地址上取一字节，就是原来的硬编码
	HookInfo.OldCode = *(UCHAR*)ProcAddress;
	//将函数内部第一个字节修改位int3
	*(UCHAR*)ProcAddress = 0xCC;
	//修复内存保护属性
	VirtualProtect((LPVOID)ProcAddress, 1, dwProtect, &dwProtect);
}

//这里才是真正的Hook（修改API参数）
LONG VEHHook(
	struct _EXCEPTION_POINTERS *ExceptionInfo
) {
	if (ExceptionInfo->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT) {
		if ((ULONG_PTR)ExceptionInfo->ExceptionRecord->ExceptionAddress == HookInfo.ExceptionAddress) {
			const WCHAR* szStr = L"我被Hook了";
			*(DWORD*)(ExceptionInfo->ContextRecord->Esp + 8) = (DWORD)szStr;
			ExceptionInfo->ContextRecord->Eip += 2;
			return EXCEPTION_CONTINUE_EXECUTION;
		}
	}
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
		AddVectoredExceptionHandler(1, (PVECTORED_EXCEPTION_HANDLER)VEHHook);
		SetVEHHook(MessageBoxProc);
		break;
    case DLL_THREAD_ATTACH:
		break;
    case DLL_THREAD_DETACH:
		break;
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

Hook测试：

先运行目标程序

注入dll：

注入dll
Hook成功：
Hook成功

Shad0w-2023
关注
专栏目录
二、C++反作弊对抗实战 (进阶篇 —— 10.利用硬件断点 + 结构化异常VEH HOOK与对抗方法)
Koma的主页
03-04 1298
本章节详细讲述了VEH HOOK与检测、对抗的方法，本文对应的代码在2.09文件夹中。上面这些都只是一些基础的对抗方法，对抗与绕过都是一次思维上的跳跃，欢迎大家参与讨论并留言！
二、C++反作弊对抗实战 (进阶篇 —— 9.利用硬件断点 + 结构化异常 SEH HOOK)
Koma的主页
03-04 1304
SEH（Struct Exception Handler，结构化异常） VEH（Vector Exception Handler，向量异常处理） SEH是OS提供给线程来感知和处理异常的一种回调机制。在Intel Win32平台上，由于FS寄存器问题指向当前的TIB（线程信息块），因此FS:[0]处能找到最新的一个
VEH+硬件断点实现无痕HOOK
09-24
VS2019源码 VEH+硬件断点实现无痕HOOK
游戏逆向-2.2VEH+软件/硬件断点实现hook
qq_41709308的博客
03-08 3574
这里设置4个硬件断点后，还可以通过int 3实现软件断点，软件断点的优点在于只破坏一个字节，同时理论上可以下无限多个hook，而硬件断点只限制在四个，当然除了int 3等，还可以通过设置Page_NoAccess达到异常hook，文章中就不再讲述另外的异常hook，如读者有兴趣了解更多可以自行补充，另外上一章的inline hook和软件断点将会留在2.3章实战中演示具体操作。
免杀笔记 ---＞ 无痕Hook？硬件断点 Syscall！
最新发布
huohaowen的博客
09-26 815
说到Hook，我们有很多Hook，像Inline-Hook，我们也是用的比较多，但是正如我上一篇Blog说的，他会对内存进行修改，如果EDR或者AV增加一个校验机制，不断检验某一块内存，那么就算你用syscall绕过了Ring3的Hook成功修改了内存也是会被扫描出来的！于是就有了今天的无痕Hook --->硬件断点其实也是小编收到了粉丝的建议，于是赶出来了那个代码，但是这个技术是未公开的，所以小编就不放代码，但是会公布部分，以及一些细节（我也不想这个技术那么快没用，望理解😋）
VEH软件断点和硬件断点Hook管理
qq_40363731的博客
03-27 459
【代码】VEH软件断点和硬件断点Hook管理。
硬件断点 DrxHook
weixin_30536513的博客
07-28 348
硬件断点的实现需要依赖于调试寄存器 DR0~DR7 调试寄存器 DR0~DR3-----调试地址寄存器DR4~DR5-----保留DR6 -----调试状态寄存器 指示哪个调试寄存器被命中DR7 -----调试控制寄存器 关于Dr7寄存器每个标志位的解释： 总结如下 DR7调试控制寄存器： R/W0~R/W3：与DR0~DR3相对应，用来指定监控地址...
7. SEH + 硬件断点HOOK
My classmates
11-04 2419
DLL #include&lt;windows.h&gt; #include &lt;TlHelp32.h&gt; #include &lt;stdio.h&gt; #include &lt;limits.h&gt; typedef HANDLE(WINAPI *OPENTHREAD) (DWORD dwFlag, BOOL bUnknow, DWORD dwThreadId); OPENTHR...
易语言HOOK异常处理
07-22
"New_SE_Handler"可能是一个新的结构化异常处理程序，结构化异常处理（SEH）是Windows操作系统中的一个特性，用于处理硬件和软件异常。 "GetSeAddr"可能是获取异常发生时的地址函数，这对于分析异常原因和定位问题...
通过硬件断点对抗hook检测
hongduilanjun的博客
04-21 2273
前言 我们知道常见的注入方式有IAT hook、SSDT hook、Inline hook等，但其实大体上可以分为两类，一类是基于修改函数地址的hook，一类则是基于修改函数代码的hook。而基于修改函数地址的hook最大的局限性就是只能hook已导出的函数，对于一些未导出函数是无能为力的，所以在真实的hook中，Inline hook反而是更受到青睐的一方。 hook测试 这里我用win32写了一个MessageBox的程序，当点击开始按钮就会弹窗，这里我写了一个Hook_E9函数用来限制对Message
代码实战硬件断点hook
01-18 1141
代码实战硬件断点hook！
PSPLink 硬件断点+APIHOOK显示 （Bins）
12-06
PSPLink 硬件断点+APIHOOK显示 （Bins） 作者为TPU 经其同意，先分享给大家
VEH硬件断点劫持
07-17
VEH-硬件断点+dll劫持内存补丁vs2008源码
HOOK异常处理.rar
04-05
HOOK异常处理.rar
c++硬件断点使用示例
03-18
c++硬件断点使用示例，喜欢调试的同学可以参考一下，应该有用！
[Rootkit] 无痕 hook - 硬件断点
LYSM
06-10 3440
hook方式有多种，这里做了一个系统性的总结对比，如下： https://www.cnblogs.com/theseventhson/p/14324562.html 之前这里做了接受消息的hook，用的就是最初级的hook方式: jmp到我们自己的处理逻辑。上面也分析了，这种方式缺点非常明显；最牛逼的神级hook：VT读写分离前面已经介绍过了，今天继续介绍高级的hook方式：硬件断点； 现代软件开发，尤其是大型软件开发，绝对不可能一步到位，开发期间肯定存在各种bug。为了方便找到这些bug，软件上有专门
VEH +硬件断点 HOOK
落笔飞花笑百生的博客
04-27 7683
 // dllmain.cpp : 定义 DLL 应用程序的入口点。 #include "stdafx.h" #include "windows.h" #include #include #include #pragma comment(lib, "d3d9.lib") #pragma comment (lib,"d3dx9.lib") #pragma comment
android　异常hook
weixin_34253126的博客
05-02 345
转载于:https://blog.51cto.com/haidragon/2388323
TesSafe.sys过驱动保护技术：读写内存与硬件断点
本文档主要讨论了如何使用 TesSafe.sys 进行过驱动保护，以及在过保护后如何实现读写内存和附加硬件断点，适用于计算机科学（CS）领域的学习者，特别是对游戏外挂制作技术感兴趣的人员。 在计算机安全和逆向工程的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Shad0w-2023

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值