学习心得－－－－－－－seh(3)

seh(3)

  明天去郊外去春游，心里很兴奋哦。

   上次贴了一段代码，里面的回调函数有一长串参数，现在解释一下：

   _Handler  proc   _lpExceptionRecord,_lpSEH,_lpContext,_lpDispatcherContext

 

   _lpExceptionRecord指向EXCEPTION_RECORD结构。

 

   _lpContext指向一个Context结构。这个结构保存了异常发生的时候所有寄存器的值。这个结构比较常用的字段有regEip。他用来得知异常发生的位置。如果要修正某个寄存器中的错误取值修改这个字段就可以了。

   _lpSEH指向注册回调函数时使用到的EXCEPTION_REGISTRATION结构的地址。如果希望异常处理程序能被封装在子程序里面的话，这个参数必不可少，如果不需要，就没用。

 

 

谈谈展开操作。

 

   什么叫展开？

   展开就是Unwinding。假设出现异常，seh链上有多个回调函数，但是没有一个函数能够处理的话，系统会把每一个回调函数调用一次，这个时候参数中指定的异常代码就是EXCEPTION_UNWIND。

 

好了，我们现在要应用了，SEH可以干什么？这其实是最先应该想到的，我们不可能什么都学，要有所选择。所以这应该是我们看这篇文章的第一个问题。

 

除了可以使我们的程序更加健壮，还可以做一些坏事，例如进入RING0,反跟踪，获得Kernel32的地址等等，这就是我学习seh的目的。我也是最近几天学seh的，在学习过程中我也有很多没明白的地方，希望和大家讨论一下

 

现在我们来预热一下：

CIH将handler指向它自己程序中。在它入口处有如下代码：

                                                                                 

    MyVirusStart:                                             

    ; Ring3代码入口点              

               push    ebp                                             

                                                                                 

    ; *************************************                                         

    ; * Let's Modify Structured Exception *                                         

    ; * Handing, Prevent Exception Error  *                                         

    ; * Occurrence, Especially in NT.     *                                         

    ; *************************************                                          

                                                                                

   lea  eax, [esp-04h*2]

;在栈中分配8字节存放_EXCEPTION_REGISTRATION结构，相当于C中基于栈的数据,即局部变量(C编译器中完成)这样EAX即指向_EXCEPTION_REGISTRATION的指针，但此时_EXCEPTION_REGISTRATION结构未初始化;具体实现机制可翻阅编译原理书籍和Matt Pietrek大师文章

               xor     ebx, ebx                                 

               xchg    eax, fs:[ebx] ;FS:[0]<->EAX

                       ;此时EAX存放的是原来异常处理代码,FS:[0]指向TEB中ExceptionList(FS指向TEB,ExceptionList偏移为0,即FS:[0])

                  call    @0                                              

         @0:                                                                             

               pop     ebx

                          ;此三行计算代码入口,此时ebx就是@0的地址，如果不明白请参看有关病毒的教程             

               lea   ecx, StopToRunVirusCode-@0[ebx]

                          ;将ecx指向自己内部代码处

               push    ecx

                       ;填充_EXCEPTION_REGISTRATION结构的handler

　　　　　　　　　　　 ;在发生异常时,操作系统会自动调用,此时为CIH代码

                                                                   

               push    eax

                       ;EAX为原来异常处理代码

                       ;填充_EXCEPTION_REGISTRATION结构的prev

 

        .

        .

        .

                                                                         

    这其后CIH调用int 3使系统发生异常,仍能进入自已的代码,   

                        int 3 ;  

int3在破解中就是breakpoint,呵呵，学了一些时候的破解总算能用一下了。

 

 

呵呵，怎么样，是不是觉得也不是很难呢？

在这里，不知道你们有没有一个问题，这个问题从我开始学习cih代码到现在都一直存在，那就是，为什么可以用seh来现进入ring0,seh为实什么可以突破封锁进入ring0呢？我心里模模糊糊有点概念，但是写出来却写不清楚，大家如果谁知道，还请指教哦。

好了，下次我们就要开始令人激动的旅程了。