SafeSEH原理与对抗

最新推荐文章于 2022-10-13 13:34:46 发布

whatday

最新推荐文章于 2022-10-13 13:34:46 发布

阅读量6.1k

点赞数 2

本文链接：https://blog.csdn.net/whatday/article/details/82976677

版权

本文详细介绍了Windows的SafeSEH机制，包括其原理、保护方式以及如何通过不同方法绕过SafeSEH，如利用未启用SafeSEH的模块、加载模块外的指令作为跳板等。同时提到了DEP、函数返回地址覆盖和虚函数表攻击等绕过手段。

摘要由CSDN通过智能技术生成

SafeSEH原理

在 Windows XP sp2 以及之后的版本中，微软引入了 S.E.H 校验机制 SafeSEH。SafeSEH 需要 OS 和 Compiler 的双重支持，二者缺一都会降低保护能力。通过启用 /SafeSEH 链接选项可心使编译好的程序具备 SafeSEH 功能（VS2003 及后续版本默认启用）。该选项会将所有异常处理函数地址提取出来，编入 SEH 表中，并将这张表放到程序的映像里。异常调用时，就与这张预先存好的表中的地址进行校验。

VS 的 Visual Studio 200* Command Prompt 中，使用 dumpbin /loadconfig *.exe 命令可以查看 SEH 表：

Microsoft (R) COFF/PE Dumper Version 9.00.30729.01
Copyright (C) Microsoft Corporation.  All rights reserved.

Dump of file gs.exe

File Type: EXECUTABLE IMAGE

  Section contains the following load config:

            00000048 size
                   0 time date stamp
                0.00 Version
                   0 GlobalFlags Clear
                   0 GlobalFlags Set
                   0 Critical Section Default Timeout
                   0 Decommit Free Block Threshold
                   0 Decommit Total Free Threshold
            00000000 Lock Prefix Table
                   0 Maximum Allocation Size
                   0 Virtual Memory Threshold
                   0 Process Heap Flags
                   0 Process Affinity Mask
                   0 CSD Version
                0000 Reserved
            00000000 Edit list
            00403000 Security Cookie
            004021C0 Safe Exception Handler Table
                   1 Safe Exception Handler Count

    Safe Exception Handler Table

          Address
          --------
          004017F5  __except_handler4

  Summary

        1000 .data
        1000 .rdata
        1000 .reloc
        1000 .rsrc
        1000 .text

SafeSEH 机制从 RtlDispatchException() 开始：

1. 如果异常处理链不在当前程序的栈中，则终止异常处理调用。
2. 如果异常处理函数的指针指向当前程序的栈中，则终止异常处理调用。
3. 在前两项检查都通过后，调用 RtlIsValidHandler() 进行异常处理有效性检查。

Alex 在 08 年的 Black Hat 大会上披露了 RtlIsValidHandler() 的细节：

BOOL RtlIsValidHandler( handler )
{
    if (handler is in the loaded image)      // 在加载模块的内存空间内
    {
        if (image has set the IMAGE_DLLCHARACTERISTICS_NO_SEH flag)
            return FALSE;                    // 程序设置了忽略异常处理
        if (image has a Saf