0day 第11章--11.1节：SafeSEH保护原理

喜欢ヅ旅行 2022-04-22 00:46 144阅读 0赞

@TOC

## 1、SafeSEH原理很简单： ##

在程序调用异常处理函数之前，对要调用的异常处理函数进行校验，当发现异常处理函数不可靠时停止对异常处理函数的调用。  
编译器在编译程序时将程序所有的异常处理函数地址提取出来，编入一张安全的SHE表，并将这张表放到程序的映像里面。当程序调用异常处理函数时将函数地址与安全SHE表进行匹配，检查调用的异常处理函数是否在安全的SHE表中。

## 2、SafeSEH机制的运行机理： ##

（1）首先会检查异常处理链是否在当前程序栈中，如果不在，将停止对异常处理函数的调用。
    （2）检查异常处理函数指针是否指向当前程序栈，如果是，将停止对异常处理函数的调用。

![在这里插入图片描述][20181101094647523.png]  
（3）当前两项检查都通过后，程序调用一个全新的函数RtlIsValidHandler()，来对异常处理函数进行有效性验证。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]  
RtlIsValidHandler()函数对以下3种情况允许异常处理函数执行。  
（1） 异常处理函数位于加载模块内存范围外，DEP关闭。  
（2） 异常处理函数位于加载模块内存范围内，相应模块未启用SafeSEH(不存在SHE表)，同时相应模块不是纯IL。  
（3） 异常处理函数位于加载模块内存范围内，相应模块启用SafeSEH，异常处理函数在SHE表中。

## 3、绕过方法 ##

针对这3中情况，我们采取如下3种方法进行绕过

（1） 在加载模块内存范围外找到一个跳板指令就可以转入shellcode执行。  
（2） 利用未启用SafeSEH模块中的指令作为跳板，转入shellcode执行。  
（3） 两种思路：情况SHE表造成未启用SafeSEH的假象；将指令注册到安全SHE表中，但由于安全SHE表信息在内存中是加密存放的，因此此路不同。  
**（4） 还有一个思路：如果SHE中的异常函数指针指向堆区，即使安全校验发现异常处理函数不可信，仍会调用被修改过的异常处理函数！WHY???**

[20181101094647523.png]: /images/20220422/27f4605ad1ac41e1b18c91b625a7d676.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]: /images/20220422/4f8fff56d54e4e68a1402d3234510bdb.png