1 不可能，SEH必须走系统领空分发异常
2 我也不知道你为什么会在0040D4D9处断下，理论上说0040D4D9是永远也执行不到的
3 文章不知道，但关注下context结构，你就会找到答案

"2 我也不知道你为什么会在0040D4D9处断下，理论上说0040D4D9是永远也执行不到的"
是可以执行到的。

实在不知道LZ是怎么跑到0040D4D9的，今天特定又验证了一遍，肯定是跑不到的

可能是我没说清，
我是在“0040D4DB”这里下断点的

由于是花指令，所以我笼统地说了“0040D4D9”
下面是过程录像。
过程.rar

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
而且我也有一点不明白原文作者的意图：
一边说：“如果你执行这里的返回语句，将迷失在系统领空。”
另一边说：“在这里下断点吧。顺利到达后取消断点。”，为什么要在这里下断呢？很疑惑

上传的附件：

• 未命名.jpg （75.11kb，68次下载）
• 过程.rar （341.50kb，3次下载）

⊙﹏⊙b汗
0040D4B0 8380 B8000000 0>ADD DWORD PTR DS:[EAX+B8],4
这一句话，就是把EIP+4
异常时EIP=40D4D7,EIP+4=40D4DB
所以40D4DB是“迷失在系统代码”后返回到用户代码的地方

先感谢“风随雨行 ”


确实如“风随雨行”所说，上面是截图。

“异常时EIP=40D4D7,EIP+4=40D4DB
所以40D4DB是“迷失在系统代码”后返回到用户代码的地方 ”

１.我在40D4D7下断后，发现并没有被断下来，也没有异常发生，程序直接跑飞了。
２.如果40D4D7处发生异常，按我的理解，应该是找SEH处理，而我并没有看到“40D4DB”在SEH处理链表中。

上传的附件：

• zzz1.jpg （146.49kb，61次下载）

单步跟上述的2中情况均不可能出现，如果是下硬件断点直接跑，程序肯定飞了

用原版OD调试
现在的OD都保护的太强了

感谢两位的回答。但我还是不清楚，为什么程序会停在“40D4DB”。
如果说“EIP=40D4D7,EIP+4=40D4DB”是一个线索，我承认。
但无法说明为什么程序是停在“40D4DB”，这与我之前所知的SEH不符合啊！

不好多说啥了，只能说明你对SEH理解不好，找点资料自己再深入研究一下吧

谢谢 风随雨行。可能我对SEH了解不够，现在就去找答案，两天后必来结帖。
PS:
风随雨行:如果找不到答案，还请您多多帮忙。

反复看了风雨的回复，其中一句话给我一点提示：
“3 文章不知道，但关注下context结构，你就会找到答案 ”

星期天就以“context结构”为关键字，开始了寻找。有点了眉目，不知道理解是否正确，还望指教。

当发生异常时，系统调用异常处理函数，它有四个参数。

EXCEPTION_DISPOSITION　 __cdecl _except_handler(
     struct _EXCEPTION_RECORD *ExceptionRecord,
     void * EstablisherFrame,
     struct _CONTEXT *ContextRecord,
     void * DispatcherContext
     );

当程序停在0040D4AC 时，即已经进入了异常处理函数，观查这时的栈。


异常处理函数声明为：__cdecl ，即右侧的函数先入栈，
栈的结构应该是：
　　０－－－－－－－－返回地址
　　４－－－－－－－－参数１
　　８－－－－－－－－参数2
　　C－－－－－－－－参数3
　　10－－－－－－－－参数4
　　而Context是参数3，所以应该是+C



下面是关于Context结构的说明
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
typedef struct _CONTEXT
{
     DWORD ContextFlags;//0
     DWORD   Dr0;//1
     DWORD   Dr1;//2
     DWORD   Dr2;//3
     DWORD   Dr3;//4
     DWORD   Dr6;//5
     DWORD   Dr7;//6
     FLOATING_SAVE_AREA FloatSave;//7-34
     DWORD   SegGs;//35
     DWORD   SegFs;//36
     DWORD   SegEs;//37
     DWORD   SegDs;//38
     DWORD   Edi;//39
     DWORD   Esi;//40
     DWORD   Ebx;//41
     DWORD   Edx;//42
     DWORD   Ecx;//43
     DWORD   Eax;//44
     DWORD   Ebp;//45
     DWORD   Eip;//46
     DWORD   SegCs;//47
     DWORD   EFlags;//48
     DWORD   Esp;//49
     DWORD   SegSs;//50
} CONTEXT;

typedef struct _FLOATING_SAVE_AREA {   
    DWORD   ControlWord;   //1
    DWORD   StatusWord;   //2
    DWORD   TagWord;   //3
    DWORD   ErrorOffset;   //4
    DWORD   ErrorSelector;  //5
    DWORD   DataOffset;   //6
    DWORD   DataSelector;   //7
    BYTE     RegisterArea[SIZE_OF_80387_REGISTERS];   //8-27
    DWORD   Cr0NpxState;  //28
} FLOATING_SAVE_AREA;  

SIZE_OF_80387_REGISTERS equ 80
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
第46个Dword是Eip，程序通过修改Context中的EIP，改变了异常处理结束之后的返回地址，让程序转向0040D4DB。

上传的附件：

• zzz1.jpg （72.00kb，31次下载）
• 未标题-1.jpg （161.86kb，32次下载）