SEH相关数据结构

亦凉 2022-08-14 04:34 149阅读 0赞

**TEB结构**

TEB（Thread Environment Block，线程环境块）在Windows9X系列中称为TIB（Thread Information Block，线程信息块），它记录着线程的重要信息。每一个线程对应一个TEB结构，在Windows2000 DDK中定义为：

typedef struct _NT_TIB {
        struct _EXCEPTION_REGISTRATION_RECORD *ExceptionList;
        PVOID StackBase;
        PVOID StackLimit;
        PVOID SubSystemTib;
        union {
            PVOID FiberData;
            DWORD Version;
        };
        PVOID ArbitraryUserPointer;
        struct _NT_TIB *Self;
    } NT_TIB;

与异常处理相关的项是指向\_EXCEPTION\_REGISTRATION\_RECORD 结构的指针\*ExceptionList，正好位于TEB的偏移0处。Windows在创建线程时，操作系统均会为每个线程分配TEB，而且都将FS段选择器指向当前线程的TEB数据，即TEB总是由\[FS：0\]指向的。

下面所说的\_EXCEPTION\_REGISTRATION\_RECORD 结构就是前面的[异常处理的基本过程][Link 1]中链起来的异常处理线程基础。

**EXCEPTION\_REGISTRATION结构**

我能找到正式定义 EXCEPTION\_REGISTRATION 结构的唯一地方是 EXSUP.INC 文件，该文件来自 Visual C++ 运行库的源：

_EXCEPTION_REGISTRATION struc
    	prev dd ?		;指向前一个EXCEPTION_REGISTRATION结构的指针
    	handler dd ?		;当前异常处理回调函数的地址
    _EXCEPTION_REGISTRATION ends

你还将看到该结构在 WINNT.H 文件中定义的 NT\_TIB 结构中被引用为 \_EXCEPTION\_REGISTRATION\_RECORD。唉，除此之外，没有什么地方能找到 \_EXCEPTION\_REGISTRATION\_RECORD 的定义，所以我只能使用 EXSUP.INC 文件中定义的汇编语言结构。

其中，prev是指向前一个EXCEPTION\_REGISTRATION（简称ERR）的指针，形成一个链状结构；handler指向异常处理代码，当系统遇到一个它不知道如何处理的异常时，它就查找异常处理链表。每个线程都有它自己的异常处理链表。

00401000 >  8D4424 F8       lea eax,dword ptr ss:[esp-0x8]    ;分配8个字节来存放ERR结构，并把地址存放到eax中
    00401004    64:8705 0000000>xchg dword ptr fs:[0],eax         ;eax和fs:[0]交换位置，现在的eax指向一开始fs:[0]的ERR结构;fs:[0]指向现在构造的ERR结构
    0040100B    BB 2E104000     mov ebx,Seh.0040102E
    00401010    53              push ebx                          ;handler
    00401011    50              push eax                          ;prev
    00401012    BE 00000000     mov esi,0x0
    00401017    8B06            mov eax,dword ptr ds:[esi]        ;当这里读取异常的时候，将交给系统异常处理，处理完毕后，调回到handler执行
    00401019    6A 00           push 0x0
    0040101B    68 00304000     push Seh.00403000                        ; ASCII "OK"
    00401020    68 10304000     push Seh.00403010                        ; ASCII "SEH Fail"
    00401025    6A 00           push 0x0
    00401027    E8 1C000000     call <jmp.&USER32.MessageBoxA>
    0040102C    EB 13           jmp short Seh.00401041
    0040102E    6A 00           push 0x0
    00401030    68 00304000     push Seh.00403000                        ; ASCII "OK"
    00401035    68 03304000     push Seh.00403003                        ; ASCII "SEH Succeed "
    0040103A    6A 00           push 0x0
    0040103C    E8 07000000     call <jmp.&USER32.MessageBoxA>
    00401041    6A 00           push 0x0
    00401043    E8 06000000     call <jmp.&KERNEL32.ExitProcess>
    00401048  - FF25 08204000   jmp dword ptr ds:[<&USER32.MessageBoxA>] ; user32.MessageBoxA
    0040104E  - FF25 00204000   jmp dword ptr ds:[<&KERNEL32.ExitProcess>; kernel32.ExitProcess

![20141130174949690][]

当堆栈刚出现这个的时候，就要注意handler的地址，因为程序即将跳到handler的地址执行。分析的时候需提前下断。

[Link 1]: http://blog.csdn.net/super_mimi/article/details/41597627
[20141130174949690]: /images/20220810/db8c7937497041a6830b79ef096da903.png