结构化异常处理的1个重要的数据结构

简述

这几天都在学习结构化异常处理，在逆向_except_handler4方面出了点问题，还没什么头绪。看来修为还是不够，至少一些关键性的结构没有弄清楚。唉。

正文

当发生异常的时候，系统从fs:[0]中提取EXCEPTION_REGISTRATION结构的信息，调用其成员handler进行处理。EXCEPTION_REGISTRATION定义如下：

// 操作系统定义的基本异常帧 struct EXCEPTION_REGISTRATION { EXCEPTION_REGISTRATION* prev; FARPROC handler; };

回调函数handler定义如下，它在结构化异常中相当于过滤表达式。

EXCEPTION_DISPOSITION __cdecl _except_handler ( __in struct _EXCEPTION_RECORD *_ExceptionRecord, __in void * _EstablisherFrame,//指向_EXCEPTION_REGISTRATION类型 __inout struct _CONTEXT *_ContextRecord, __inout void * _DispatcherContext );

有了这些信息，我们可以写一个测试程序，验证一下。

//文件:SEHDEMO.cpp //编译:cl /c SEHDEMO.cpp //链接:link /SAFESEH:NO SEHDEMO.obj #include <windows.h> #include <stdio.h> DWORD dwTemp = 0; EXCEPTION_DISPOSITION __cdecl _except_handler ( __in struct _EXCEPTION_RECORD *_ExceptionRecord, __in void * _EstablisherFrame, __inout struct _CONTEXT *_ContextRecord, __inout void * _DispatcherContext ) { printf("int function _except_handler./n"); //修复出现异常的指令 _ContextRecord->Eax = (DWORD)&dwTemp; //让其从异常发生的地址开始继续执行 return ExceptionContinueExecution; } int main(void) { DWORD handler = (DWORD)_except_handler; //安装结构化异常处理 __asm { //创建EXCEPTION_REGISTRATION结构 push handler //设置handler为_except_handler push fs:[0] //设置prev为原有fs:[0] mov fs:[0],esp //安装EXCEPTION_REGISTRATION结构 } //编写触发异常的语句 __asm { mov eax,0 mov [eax],0x1234 } //异常修复后，继续执行 printf("After Write./n"); //恢复原先的结构化处理 __asm { mov eax,[esp] //提取前一个EXCEPTION_REGISTRATION结构 mov fs:[0],eax //恢复 add esp,8 //平衡堆栈 } }