5.SEH（结构化异常处理）

最新推荐文章于 2021-04-12 14:45:09 发布

My classmates

最新推荐文章于 2021-04-12 14:45:09 发布

阅读量1.2k

点赞数

分类专栏：异常

本文链接：https://blog.csdn.net/weixin_42052102/article/details/83547922

版权

本文详细介绍了Windows系统中的SEH（结构化异常处理）机制，包括异常处理流程。当用户异常发生时，内核通过KiDispatchException函数将控制权转给KiUserExceptionDispatcher，后者调用RtIDispatchException来查找异常处理函数。异常处理顺序首先检查VEH全局链表，接着是SEH局部链表。SEH依赖于线程堆栈，通过压入_EXCEPTION_REGISTRATION_RECORD结构并更新fs[0]来注册。总结了SEH异常处理的关键步骤：从FS段寄存器获取SEH链表，检查链表是否位于当前线程堆栈中，并调用相应的异常处理函数。

摘要由CSDN通过智能技术生成

当用户异常产生后,内核函数KiDispatchException并不是像处理内核异常那样在0环直接进行处理,而是修正3环EIP为KiUserExceptionDispatcher函数后就结束了。

这样,当线程再次回到3环时,将会从KiUserExceptionDispatcher函数开始执行。

KiUserExceptionDispatcher会调用RtIDispatchException函数来查找并调用异常处理函数,查找的顺序：

先查局链表: VEH
如果VEH没找到，再查局部链表: SEH

在这里插入图片描述

3环fs[0]->TEB.+ 0x0 _NT_TIB
0环fs[0]->KPCR.+ 0x0 _NT_TIB
无论是3环还是0环它的第一个都是_EXCEPTION_REGISTRATION_RECORD 这个结构，这个结构最少要有两个成员，可拓展后面再说。

//最原始的 SEH链表结构
typedef struct _EXCEPTION_REGISTRATION_RECORD 
{
    
	struct _EXCEPTION_REGISTRATION_RECORD* Next;	//下一个节点，-1就是没有下一个节点了
	PEXCEPTION_ROUTINE Handler; //指向异常处理函数
} EXCEPTION_REGISTRATION_RECORD;

SEH与VEH不同，VEH所有线程都能用的与线程无关，SEH哪个线程想用这个异常处理函数，就必须往自己的堆栈里压入_EXCEPTION_REGISTRATION_RECORD这种结构（你压入当前进程的A线程对B线程没有影响的），然后让fs[0]指向新构建的结构体，再给Handler提供异常处理函数。

在这里插入图片描述