加密与解密二版菜鸟学习笔记(2) - seh 结构化异常处理 by ytcswb

《加密与解密二版菜鸟学习笔记(2) - seh 结构化异常处理 by ytcswb》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、加密与解密二版菜鸟学习笔记(2)-SEH结构化异常处理byytcswb看学加密与解密二版学习笔记(2)-SEH结构化异常处理[工具]flyod1.10[目的]学习SEH的手法,另书中是用SoftICE调试的,看起来不习惯.根据原文内容重新整理一下,便于和我一样的菜鸟们一起学习.今天下决心,好好学习,这是就算是个开始吧!感觉学明白的确很不容易![注释]?--为不能理解的地方,请大侠们指点一下.学习过程中,有理解错误的地方,肯请大侠们多多指教.[练习对象]加密与加密二版第10章,光盘配套的练习软件:seh.exeseh2.exe[writer]y

2、tcswb2005.2.1感谢看学及论坛的大侠们为我们提供这么好的学习资料。1.例子seh.exe学习:00401000>$8D4424F8leaeax,dwordptrss:[esp-8]//程序入口！根据下面的代码分析,这里显然可以//理解为开辟8字节的空间,并把栈顶指针保存到eax//相当于subesp,8;leaeax,dwordptrss:[esp]00401004.64:870500000>xchgdwordptrfs:[0],eax//记住fs[0]永远是指向当前err结构的指针,//执行完成后,fs[0]指向栈顶,准备在堆栈中

3、构造1个err结构//eax等于原fs[0],即指向原来的err结构的指针,即那个err结构的地址0040100B.BB2E104000movebx,Seh.0040102E//地址40102e-->ebx,建议在此地址上设断点,才能正常跟踪入seh代码中00401010.53pushebx//压入堆栈,即当前err结构的handler成员,当前异常处理代码的入口地址00401011.50pusheax//压入原fs[0],即当前err结构的prev成员,即下一个err结构的地址此时堆栈:0012FFBC0012FFE0指针到下一个SEH记录

4、//0012FFE0是个指针,看看就知道指向下一个err结构,数值上等于下一个err结构的地址0012FFC00040102ESE句柄//建立了1个当前的err结构0012FFE0FFFFFFFFSEH链尾部0012FFE477E74809SE句柄err结构的定义[在Essup.INC源文件中定义的---VC++CRT(CRT含义:C++RunTimelibrary)]:_EXCEPTION_REGISTERATIONstruprevdd?//指向下一个err结构的指针,数值上等于下一个err结构的首地址(在堆栈中)handlerdd?//指

5、向异常处理代码的指针,数值上等于异常处理代码的入口地址即首地址_EXCEPTION_REGISTERATIONends00401012.BE00000000movesi,0//简单的赋值语句00401017.8B06moveax,dwordptrds:[esi]//读取线性地址0,产生异常//执行后,windows检查到异常,执行线程马上被中段,从用户模式转到内核模式//控制权交到操作系统的异常调试程序(exceptiondispatcher),由它负责找到//处理这个异常的方法,即所有应用程序的异常最终都是由windwos来处理的,//同一

6、个版本的windows有固定的异常处理代码.//如果你把这句nop掉了,也就等于去除了异常.会接着执行到下面的代码,并显示"SEHFail"!00401019.6A00push0;/Style=MB_OK

7、MB_APPLMODAL0040101B.6800304000pushSeh.00403000;

8、Title="OK"00401020.6810304000pushSeh.00403010;

9、Text="SEHFail"00401025.6A00push0;

10、hOwner=NULL00401027.E81C000000call

11、SER32.MessageBoxA>;MessageBoxA0040102C.EB13jmpshortSeh.004010410040102E.6A00push0;/Style=MB_OK

12、MB_APPLMODAL00401030.6800304000pushSeh.00403000;

13、Title="OK"00401035.6803304000pushSeh.00403003;

14、Text="SEHSucceed"0040103A.6A00push0;

15、hOwner=NULL0040103C.E807000000call

16、2.MessageBoxA>;MessageBoxA00401041>6A00push0;/ExitCode=000401043.E806000000call