Windows 系统编程初探 (六)结构化异常处理之三:SEH 的简单应用

类别:编程语言 点击:0 评论:0 推荐:

       前面我们已经学习了SEH的两种处理方法,现在来看一下SEH的实际应用。 SEH 最基本的应用当然是保证

应用程序的健壮性。但事实上,如果应用程序发生异常,是很难修复的!虽然我们可以通过异常代码和有限的

异常信息来分析它,但根本无法保证异常修复后程序能够继续正常地工作。虽然在前面的例程中,我们都很好

的修复了异常,但那些异常只是人为的设置,实际应用中一般不会这么干。我们所能做的,只有老老实实地释

放掉程序中分配的系统资源,然后体面地结束我们的应用程序,当然,更友好一点的做法将异常信息写入日志

文件里,然后重新启动程序,像最新版的IE,它还要求发送错误报告呢!M$真是学乖了,一个异常可能就是一

个漏洞,如果程序不做异常处理,却转交给系统弹出错误消息框,那当用户点击"Cancel"启动调试器的话,一

个新的攻击点可能就此被发现了,这比直接去 IE 中寻找漏洞要有效得多!

        下面我要讲述的一个应用是跟加密反跟踪有关的,利用SEH的回调特性,我们打乱程序的执行顺序,让跟

踪调试无法顺利进行。这里,需要用到的异常是单步调试异常,我的做法是在程序的正常执行序中设置一个标

志作为功能请求,然后触发单步异常,进入异常处理函数后根据前面的请求来完成所需要得功能。这样一来,

如果用调试器跟踪代码将永远也到不了功能代码处,因为调试器将会接管单步调试的异常处理,异常处理例程

就永远也不会执行了,更好的做法是事先将所有功能代码全部加密,在异常处理函数中现解密现执行,这样,

静态反编译也摸会不着头脑。不多说废话了,请看例子。

;**********************************************************
;结构化异常处理的单步应用例程
;本例中多处使用了参数 CONTEXT,注意一下
;也就时说,在异常处理程序中可以通过改变 CONTEXT
;中的字段的值来修改异常线程中寄存器的值。
;**********************************************************
.386
.MODEL FLAT

include ..\INCLUDE\PERELATION.INC

EXTRN MessageBoxA:PROC
EXTRN ExitProcess:PROC


.Data
 szTitle  DB "标题",0
 
 szMessage1 DB "无可奈何花落去,似曾相识燕归来。",0
 szMessage2 DB "无奈朝来寒雨晚来风。自是人生长恨水长东。",0
 szMessage3 DB "落花人独立,微雨燕双飞。当时明月在,曾照彩云归。",0
 
.Code
_Header:
 ASSUME FS:NOTHING
 PUSH EBP
 
 ;挂接异常处理函数
 PUSH OFFSET _ExceptionFilter
 PUSH DWORD PTR FS:[0]
 MOV  FS:[0],ESP
 
 ;设置单步异常,将 EFLAGS 寄存器 TF 位置1,触发单步异常
 PUSHFD
 OR  DWORD PTR [ESP],0100H
 POPFD
 
 ;下一条指令将触发单步异常
 ;以EAX的值来请求需要执行的功能
 ;EAX = 0,执行功能1
 XOR  EAX,EAX
 
 ;EAX = 1,执行功能2
 INC  EAX
 
 ;EAX = 2,执行功能3
 INC  EAX
 
 ;清除 SEH 节点,恢复堆栈
 POP  DWORD PTR FS:[0]
 ADD  ESP,4
 
 POP  EBP
 
 PUSH 0
 CALL ExitProcess

;异常处理函数 
_ExceptionFilter   PROC
 MOV  EAX,ESP
 PUSHAD
 
 ;取得参数EXCEPTION_RECORD
 MOV  ESI,[EAX + 4]


 ;取得参数CONTEXT
 MOV  EDI,[EAX + 12]
 
 ;分析异常代码
 MOV  EAX,[ESI].ExceptionCode
 
 ;是否单步异常
 CMP  EAX,080000004H
 JE  _IsSingleStep
 
 ;其他异常,转交系统处理
 POPAD
 XOR  EAX,EAX
 INC  EAX
 RET
 
 ;单步异常处理
_IsSingleStep:


 ;取得EAX寄存器的值
 MOV  EAX,[EDI].C_Eax
 
 ;=0 执行功能1
 TEST EAX,EAX
 JE  _Function_I
 
 ;=1 执行功能2
 DEC  EAX
 JZ  _Function_II
 
 ;=2 执行功能3
 DEC  EAX
 JZ  _Function_III
 
 ;其他,直接退出
 JMP  _Filter_Exit
 
_Function_I:
 ;显示 szMessage1
 PUSH MB_OK
 PUSH OFFSET szTitle
 PUSH OFFSET szMessage1
 PUSH NULL
 CALL MessageBoxA
 
 ;将 TF 置 1,继续触发单步异常
 OR  [EDI].C_EFlags,0100H
 JMP  _Filter_Exit
 
_Function_II:
 ;显示 szMessage2
 PUSH MB_OK
 PUSH OFFSET szTitle
 PUSH OFFSET szMessage2
 PUSH NULL
 CALL MessageBoxA
 
 ;将 TF 置 1,继续触发单步异常
 OR  [EDI].C_EFlags,0100H
 JMP  _Filter_Exit
 
_Function_III:
 ;显示 szMessage3
 PUSH MB_OK
 PUSH OFFSET szTitle
 PUSH OFFSET szMessage3
 PUSH NULL
 CALL MessageBoxA 
 
 ;结束了,不再触发单步异常
_Filter_Exit:
 POPAD
 XOR  EAX,EAX
 RET
_ExceptionFilter    ENDP

END  _Header

        将上面的代码编译连接生成 EXE 文件,试着执行一下,它将连接弹出三个消息框,但是如果用调试器打开

它,那就什么反应也没有就结束了,呵呵,我们的目的已经达到了。

本文地址:http://com.8s8s.com/it/it22246.htm