SEH-结构化异常处理

本文为《逆向工程核心原理》读书笔记，采用的程序示例均来源于此书

什么是异常

要学习异常处理，首先要了解什么异常

常见的异常如下：

EXCEPTION_ACCESS_VIOLATION(C0000005)

访问内存异常，例如访问不存在的或者是不具权限的内存区域

例如，这里将0x1移入0x0的地址，在x64dbg中可以看到不同段的权限信息

1 2	xor eax, eax mov dword ptr ds:[eax], 0x1

可以看出，0x0是非法地址，于是就会触发异常。

不仅是访问，修改无“write”权限的地址，或者内核区域，都会引发异常

EXCEPTION_BREAKPOINT(80000003)

断点异常

调试器利用断点异常来实现断点功能

INT3断点对应的16进制为0xCC（IA-32）

在0x401000处dump内存，再用010打开

很明显发现5A10400前面的68变成了CC，即这里已经被下了断点

EXCEPTION_ILLEGAL_INSTRUCTION(C000001D)

顾名思义，非法指令，当调试器遇到无法解析的指令的时候就会触发该异常

EXCEPTION_INT_DIVIDE_BY_ZERO(C0000094)

除零异常

1 2	xor eax, eax div eax

除法的分母为零的时候，触发异常

SEH异常处理工作原理

SEH 是针对于异常的一种处理机制，这个异常分为硬件异常和软件异常，这里所说的硬件异常是狭义的异常，也就是 CPU 产生的异常。比如除零操作，CPU 执行除零操作时候，会自主启动异常处理机制。软件异常，就是程序模拟的异常，比如调用 RaiseException 函数。软件异常是可以随意触发的，windows 系统内部遇到问题会触发。

要让SEH处理异常，首先得注册异常。SEH是线程相关的，也就是说，每个线程都有他自己的异常处理注册表。异常处理注册表在内存中以结构体链表的形式储存

typedef struct _EXCEPTION_REGISTRATION_RECORD {
	struct _EXCEPTION_REGISTRATION_RECORD *Next;
    PEXCEPTION_ROUTINE Handler;
} EXCEPTION_REGISTRATION_RECORD;

结构体指针Next则指向下一个结点。当触发异常的时候，遍历该链表以找到对应的Hander来处理，否则则直接结束程序。

若Next == 0xFFFFFFFF，则说明异常处理注册表结束。

Handler指向异常处理函数

该函数接收到异常后会返回EXCEPTION_DISPOSITION这个枚举类型，每个枚举类型将会指示异常处理的下一步进程

typedef enum _EXCEPTION_DISPOSITION {
    ExceptionContinueExecution, 已处理异常，从断点处继续执行
    ExceptionContinueSearch,    未处理异常，继续搜索异常处理注册表
    ExceptionNestedException,   OS内部使用
    ExceptionCollidedUnwind     OS内部使用
} EXCEPTION_DISPOSITION;

该函数会接收EXCEPTION_RECORD这个结构体来储存异常相关的信息

typedef struct _EXCEPTION_RECORD {
    DWORD ExceptionCode;        //异常代码
    DWORD ExceptionFlags;
    struct _EXCEPTION_RECORD *ExceptionRecord;
    PVOID ExceptionAddress;     //异常发生的地址
    DWORD NumberParameters;
    ULONG_PTR ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;

因为SEH是线程相关的，因此为了在多线程的环境下安全运行，Handler函数还会接收一个CONTEXT结构体来保存寄存器的相关信息

typedef struct _CONTEXT {
    //用来表示该结构中的哪些域有效
     DWORD ContextFlags; 
    
    //调试寄存器
     DWORD   Dr0, Dr1, Dr2, Dr3, Dr6, Dr7; 
    //偏移值  04h  08h  0Ch  10h  14h  18h
    
    //浮点寄存器区
     FLOATING_SAVE_AREA FloatSave; 
    
    //段寄存器
     DWORD   SegGs, SegFs, SegEs, SegDs; 
    //偏移值    88h    90h    94h    98h 
      
    //通用寄存器组
     DWORD   Edi, Esi, Ebx, Edx, Ecx, Eax; 
    //偏移值  9Ch  A0h  A4h  A8h  ACh  B0h
    
    //控制寄存器组
     DWORD   Ebp, Eip, SegCs, EFlags, Esp, SegSs; 
    //偏移值  B4h  B8h    BCh     C0h  C4h    C8h

     //扩展寄存器，只有特定的处理器才有
     BYTE    ExtendedRegisters[MAXIMUM_SUPPORTED_EXTENSION]; //512bytes
} CONTEXT;