首页
社区
课程
招聘
旧调重弹-SetUnhandledExceptionFilter的使用问题
发表于: 2005-12-19 17:35 9556

旧调重弹-SetUnhandledExceptionFilter的使用问题

2005-12-19 17:35
9556

旧调重弹-SetUnhandledExceptionFilter的使用问题
kongfoo/2005.12.19

. Delphi中使用SetUnhandledExceptionFilter的问题

  这几天在写一个测试程序,包括使用SetUnhandledExceptionFilter来
反OD调试,关于SetUnhandledExceptionFilter的反调试原理之前(一年前了哈)
simonzh2000等人都有详细讲述,这里就不多讲了,在Delphi里面要用这个
函数却有点问题,先看看代码:

program SetUnhandledExceptionFilterTest;
uses Windows;

procedure Handler;
begin
  MessageBox(Hwnd(0),'Final SEH','.',0);
  asm
    mov eax,1
    retn
  end;
end;

begin
  SetUnhandledExceptionFilter(@Handler);
  asm
    xor edx,edx
    idiv edx
  end;
end.

  很简单的一个程序,但得到的效果却不是预期之中的,在弹出'Final SEH'
之后又弹出一个Runtime error。如果在窗体之中的按钮事件里面写这样的测试
代码的话,效果更加是“离奇”,弹出一个“除0错”之后就没事发生了,根本
没有去Handler里面。
  究其原因,Delphi编译出来的程序有自己的一套用SEH建立起来的异常处理
机构,是自动的,在程序启动之初就建立起来了。就连上面这样简单的程序也一
样,在SetUnhandledExceptionFilter之前就建立了一个SEH结构。如果要达到预
期效果:发生异常时去到我们的Handler里面,然后就完事了,我们就要先清掉
Delphi建立的SEH。再来看看代码:

program SetUnhandledExceptionFilterTest;
uses Windows;

procedure Handler;
begin
  MessageBox(Hwnd(0),'Final SEH','.',0);
  asm
    mov eax,1
    retn
  end;
end;

begin
  //首先要清掉SEH
  asm
   @Loop:
    mov eax,fs:[0]
    cmp dword ptr [eax],$FFFFFFFF
    je @SEHCleared
    mov eax,[eax]
    mov fs:[0],eax
    jmp @Loop
   @SEHCleared:
  end;
  SetUnhandledExceptionFilter(@Handler);
  asm
    xor edx,edx
    idiv edx
  end;
end.

  现在程序按照我们的想法运行了。在窗体的按钮OnClick事件中使用也正常。
SetUnhandledExceptionFilter在高级语言中应用时应该要注意一下这个问题了。
特别是用高级语言写壳用到这个反调试技巧时。另外说一说在异常处理函数返回
值为-1时的问题。hume在《SEH in ASM研究》中的资料说到:

EXCEPTION_EXECUTE_HANDLER equ 1 表示我已经处理了异常,可以优雅地结束了
EXCEPTION_CONTINUE_SEARCH equ 0 表示我不处理,其他人来吧,于是windows调用默认的处理程序显示一个错误框,并结束
EXCEPTION_CONTINUE_EXECUTION equ -1 表示错误已经被修复,请从异常发生处继续执行

  网上搜到一些关于SetUnhandledExceptionFilter的文章演示的都是返回值
为1的情况,而在反调试当中,这种情况是没用的,因为返回到系统之后程序就
结束了,有用的是返回为-1的情况。具体设置和我们平时的SEH异常处理函数类
似,在到达SetUnhandledExceptionFilter指定的异常处理函数之后,[[esp+4]+4]
处就是CONTEXT STRUCT。看代码可以更清晰(测试环境:winxp sp2):

//这里是用SetUnhandledExceptionFilter设置的异常处理函数
@Handler:
  mov eax,[esp+4]
  mov eax,[eax+4]
  add dword ptr [eax+0B8],2 //异常指令2个字节长,加2指向下一条指令。eax指向CONTEXT STRUCT。
  mov eax,-1
  retn

//设置代码:
  push offset @Handler
  call SetUnhandledExceptionFilter
  xor edx,edx
  idiv edx
  nop //可以在这里下断测试(当然,OD要patch UnhandledExceptionFilter)。

  OK,收工。


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 7
支持
分享
最新回复 (3)
雪    币: 440
活跃值: (827)
能力值: ( LV9,RANK:690 )
在线值:
发帖
回帖
粉丝
2
沙发
2005-12-19 17:57
0
雪    币: 282
活跃值: (233)
能力值: ( LV9,RANK:210 )
在线值:
发帖
回帖
粉丝
3
support 顶!!!
2005-12-20 18:50
0
雪    币: 216
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
4
支持
2005-12-20 19:45
0
游客
登录 | 注册 方可回帖
返回
//