SEH

@author: dlive

SEH是Windows的异常处理机制，在程序源代码中使用__try,__catch,__finally关键字来具体实现。

但SEH与C++的try, catch异常处理不同，从时间上看，与C++的try, catch相比，微软先创建了SEH机制，然后才将它搭载到VC++中。

SEH大量应用于压缩器，保护器，恶意程序用来反调试

0x01 OS的异常处理方法

正常运行时的异常处理方法

若进程代码中有具体的异常处理代码，则能顺利处理相关异常，否则OS会启动默认的异常处理机制，终止进程运行

调试运行时的异常处理方法

被调试进程内部发生异常，OS会首先把异常交给调试器处理，若调试器不处理则异常交给被调试者处理，若仍不处理，最后由OS默认的异常处理机制处理。

（OD中使用shift+F7/F8/F9【step into/over/run】可以将当前异常抛还给被调试者）

0x02 常见异常

1.EXECPTION_ACCESS_VIOLATION (C0000005)

试图访问不存在或不具有访问权限的内存区域时，发生非法访异常

2.EXECPTION_BREAKPOINT(80000003)

调试器就是利用该异常实现断点功能的

3.EXCEPTION_ILLEGAL_INSTRUCTION(C000001D)

CPU遇到无法解析的指令时引发该异常。比如“0FFF“指令在x86 CPU中未定义，CPU遇到该指令将引发此异常。

4.EXCEPTION_INT_DIVIDE_BY_ZERO(C0000094)

除法中分母为0引发的异常

5.EXCEPTION_SINGLE_STEP(80000004)

CPU进入单步模式后，每执行一条指令就会引发EXCEPTION_SINGLE_STEP异常，暂停运行。

将EFLAGS寄存器的TF（Trap Flag, 陷阱标志位）位设置为1后，CPU就会进入单步工作模式。

0x03 SEH

SEH以链的形式存在，第一个异常处理器若未处理相关异常，它会被传递到下一个异常处理器，直到得到处理。

从技术层面上看，SEH是由_EXCEPTION_REGISTRATION_RECORD结构体组成的链表

typedef struct _EXCEPTION_REGISTRATION_RECORD
{
     PEXCEPTION_REGISTRATION_RECORD Next;
     PEXCEPTION_DISPOSITION Handler;
} EXCEPTION_REGISTRATION_RECORD, *PEXCEPTION_REGISTRATION_RECORD;

Next是指向下一个结构体的指针，Handler是异常处理函数的地址。若Next = FFFFFFFF,则表示它是最后一个节点。

异常处理函数声明如下

EXCEPTION_DISPOSITION _except_handler
(
  EXCEPTION_RECORD *pRecord,
  EXCEPTION_REGISTRATION_RECORD *pFrame,
  CONTEXT *pContext,
  PVOID pValue
);

返回值EXCEPTION_DISPOSITION为枚举类型，ExceptionContinueExecution(0)表示继续执行异常代码，ExceptionContinueSearch(1)表示运行下一个异常处理函数

函数的第一个参数为EXCEPTION_RECORD结构体指针

typedef _EXCEPTION_RECORD{
  DWORD ExceptionCode; //异常类型
  ...
  PVOID ExceptionAddress;// 异常发生的地址
}EXCEPTION_RECORD, *PEXCEPTION_RECORD;

函数的第三个参数为线程的上下文CONTEXT结构体，这个结构体在“调试钩取”部分介绍过。每个线程内部都拥有1个CONTEXT结构体。

在异常处理函数中将参数传递过来的CONTEXT.Eip设置为其他地址，然后返回异常处理函数。这样，之前暂停的线程会执行新设置的EIP处的代码（反调试中经常采用这一技术）

TEB.NtTib.ExceptionList(FS:0)存储着SEH链的地址，可以通过FS:[0]获得SEH地址。

0x04 调试SEH

使用OD运行seh.exe，找到用户自定义代码

这里使用一种新的方法定位用户代码，F9运行seh.exe弹出对话框，在OD中点击暂停（F12）

此时程序运行在MessageBox的代码区域，即在user32.dll的内存空间中运行。

使用alt+F9（mac为option+F9）快捷键，该快捷键功能为使程序继续运行直到用户代码空间。

这样EIP便回到用户代码空间中MessageBoxA调用结束的位置，这样就找到了用户代码。

1.查看SEH链

在OD数据窗口ctrl+G跟踪dword ptr fs:[0]

dword ptr fs:[0] == 0012FF78

将数据窗口调节为如下模式，可以看到OD生成对SEH的注释信息，0012FF78指向SEH链头结点

查看第一个SEH处理函数

该函数为VC++生成PE文件时默认添加到其启动函数的

接着查看SEH链中下一个启动函数

该SEH结点为SEH链中最后一个节点（Next=FFFFFFFF）SEH处理函数为ntdll.dll中定义的系统函数，这是OS的默认异常处理器，创建进程时OS会自动产生默认的SEH

2.添加SEH

图中前三行汇编代码即为SEH的安装代码，具体可参考图中注释，本质就是一个链表插入节点的操作

可以看到OD在栈上也会生成SEH的注释，ESP指向的为新SEH结构体中的Next成员变量，ESP+4指向的为SEH处理函数的地址

tips: OD自带查看SEH链功能

菜单中选择查看->SEH链

查看选项提供的功能还是很有用的

3.查看SEH异常处理函数参数

在所有SEH异常处理函数开头下断点，当发生异常时程序将在0040105A处断下

ESP+4指向EXCEPTION_RECORD结构体，结构体的第一个成员变量DWORD ExceptionCode的值为c0000005即EXCEPTION_ACCESS_VIOLATION异常

发生异常的地址PVOID ExceptionAddress为00401019

ESP+8指向EXCEPTION_REGISTRATION_RECORD结构体，其值为0012FF78，它是SEH的起始地址

ESP+C为第三个参数，它指向CONTEXT结构体，该结构体中存储着线程上下文信息，CONTEXT.Eip(Address of CONTEXT + 0xB8)为发生异常的代码地址值为00401019

ESP+10为第四个参数，它供系统使用，可忽略

4.调试异常处理函数代码

前面的内容明白了之后看这段代码还是非常简单的，注释部分详细描述了该代码的功能（这是一种常见的反调试方法）

代码最后return 0表示ExceptionContuineExecution表示异常得到处理，相关线程可以继续执行

00401023和00401039分别是如下两段代码

这里有几个需要重视的地址：

FS:[30] -> PEB的地址

PEB + 0x02 -> PEB.BeingDebugged的地址

CONTEXT + 0xB8 -> CONTEXT.Eip的地址

运行到ret指令后，异常处理函数结束，控制权返回到ntdll.dll模块的代码区域，它属于系统区域，ALT+F9（MAC为OPTION+F9）,运行到用户代码区域可以看到运行至00401023处

好吧，alt+f9不行，好像是因为多线程的原因，ntdll.dll代码空间中调用了ZwContinue恢复线程运行(跟进ZwContinue发现最后使用了系统调用)，所以需要手动在00401023处下断点才能断下

5.删除SEH

执行完MessageBox之后执行如上0040104D处代码

执行fs:[0] = Next，之后清理栈空间(add esp,4)，最后ret

tips2: OD调试选项之异常

勾选上忽略异常之后，被调试者若发生如上异常，调试器会直接将这些异常交给被调试者的异常处理程序处理，无需使用Shift+F7/F8/F9进行手动忽略