初识VEH链（用户异常派发的进一步探究）
Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html
初识VEH链（用户异常派发的进一步探究）
VEH链是进程处理异常的一个非常重要的机制。
前面我们分析到用户异常进入内核之后会再次返回到R3层调用KeExceptionDispatcher函数尝试处理。
该函数的主要目的就是搜索VEH找到异常的解决方案，如果未找到会再次向零环抛出异常。
一、通过C代码来实现VEH挂载
如下代码，VEH是一个进程全局异常处理链表。
VEH只能处理单个进程的，后面的SEH在内核中处理全局的。
1 // veh.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。 2 // 3 4 #include "pch.h" 5 #include <iostream> 6 #include <Windows.h> 7 LONG NTAPI MyVeH(struct _EXCEPTION_POINTERS *ExceptionInfo) { 8 // 9 // 检测到 c0000094 错误并进行处理. 10 // 11 if (ExceptionInfo->ExceptionRecord->ExceptionCode = 0xc0000094) { 12 MessageBoxA(NULL, NULL, NULL, NULL); 13 14 // 15 // 方法一：除法汇编代码占两个字节，EIP+2跳过即可 16 // 17 //ExceptionInfo->ContextRecord->Eip += 2; 18 19 // 20 // 方法二：修改ECX寄存器(原来该寄存器为0） 21 // 22 ExceptionInfo->ContextRecord->Ecx = 1; 23 return EXCEPTION_CONTINUE_EXECUTION; 24 25 } 26 return EXCEPTION_CONTINUE_SEARCH; 27 } 28 int main() 29 { 30 // 31 // 将我们的异常处理函数挂在VEH头 32 // 33 AddVectoredExceptionHandler(TRUE, MyVeH); 34 35 // 36 // 使用汇编代码产生c0000094除零错误 37 // 38 _asm { 39 mov eax,1 40 mov ecx,0 41 idiv ecx 42 } 43 getchar(); 44 std::cout << "Hello World!\n"; 45 }
二、 AddVectoredExceptionHandler（ntdll.dll）反汇编代码解读
该注意，其挂载的MyVeH函数会进入内核进行加密，具体加密使用xor，秘钥通过系统当前时间来计算得。
1. 流程图
2. 反汇编代码解读
1 .text:7C9625F9 ; START OF FUNCTION CHUNK FOR _RtlCallVectoredExceptionHandlers@8 2 .text:7C9625F9 3 .text:7C9625F9 loc_7C9625F9: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+13↑j 4 .text:7C9625F9 mov eax, [ebp+arg_0] 5 .text:7C9625FC push ebx 6 .text:7C9625FD push esi 7 .text:7C9625FE mov [ebp+var_8], eax 8 .text:7C962601 mov eax, [ebp+arg_4] 9 .text:7C962604 mov ebx, offset _RtlpCalloutEntryLock 10 .text:7C962609 push ebx 11 .text:7C96260A mov [ebp+var_4], eax 12 .text:7C96260D call _RtlEnterCriticalSection@4 ; RtlEnterCriticalSection(x) 13 .text:7C962612 mov esi, _RtlpCalloutEntryList 14 .text:7C962618 jmp short loc_7C96262F 15 .text:7C96261A ; --------------------------------------------------------------------------- 16 .text:7C96261A 17 .text:7C96261A loc_7C96261A: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D1D↓j 18 .text:7C96261A push dword ptr [esi+8] 19 .text:7C96261D call _RtlDecodePointer@4 ; RtlDecodePointer(x) 20 .text:7C962622 lea ecx, [ebp+var_8] 21 .text:7C962625 push ecx 22 .text:7C962626 call eax 23 .text:7C962628 cmp eax, 0FFFFFFFFh 24 .text:7C96262B jz short loc_7C962647 25 .text:7C96262D mov esi, [esi] 26 .text:7C96262F 27 .text:7C96262F loc_7C96262F: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D04↑j 28 .text:7C96262F cmp esi, edi 29 .text:7C962631 jnz short loc_7C96261A 30 .text:7C962633 mov byte ptr [ebp+arg_0+3], 0 31 .text:7C962637 32 .text:7C962637 loc_7C962637: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D37↓j 33 .text:7C962637 push ebx 34 .text:7C962638 call _RtlLeaveCriticalSection@4 ; RtlLeaveCriticalSection(x) 35 .text:7C96263D mov al, byte ptr [ebp+arg_0+3] 36 .text:7C962640 pop esi 37 .text:7C962641 pop ebx 38 .text:7C962642 jmp loc_7C94A92F 39 .text:7C962647 ; --------------------------------------------------------------------------- 40 .text:7C962647 41 .text:7C962647 loc_7C962647: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D17↑j 42 .text:7C962647 mov byte ptr [ebp+arg_0+3], 1 43 .text:7C96264B jmp short loc_7C962637 44 .text:7C96264B ; END OF FUNCTION CHUNK FOR _RtlCallVectoredExceptionHandlers@8 45 .text:7C96264D ; --------------------------------------------------------------------------- 46 .text:7C96264D ; START OF FUNCTION CHUNK FOR _RtlAddVectoredExceptionHandler@8 47 .text:7C96264D 48 .text:7C96264D loc_7C96264D: ; CODE XREF: RtlAddVectoredExceptionHandler(x,x)+3C↑j 49 .text:7C96264D mov eax, _RtlpCalloutEntryListBlink ; 挂在Veh链尾部 50 .text:7C962652 mov [esi+_VECTORED_EXCEPTION_NODE.ListEntry.Flink], offset _RtlpCalloutEntryList 51 .text:7C962658 mov [esi+_VECTORED_EXCEPTION_NODE.ListEntry.Blink], eax 52 .text:7C96265B mov [eax], esi 53 .text:7C96265D mov _RtlpCalloutEntryListBlink, esi 54 .text:7C962663 jmp loc_7C956C53 55 .text:7C962663 ; END OF FUNCTION CHUNK FOR _RtlAddVectoredExceptionHandler@8 56 .text:7C962668 ; --------------------------------------------------------------------------- 57 .text:7C962668 ; START OF FUNCTION CHUNK FOR _RtlRemoveVectoredExceptionHandler@4 58 .text:7C962668 59 .text:7C962668 loc_7C962668: ; CODE XREF: RtlRemoveVectoredExceptionHandler(x)+29↑j 60 .text:7C962668 mov eax, [eax] 61 .text:7C96266A jmp loc_7C956C85
三. 用户异常的派发
之前我们分析过用户的派发分析到 KiUserExceptionDispatcher(ntdll.dll) 函数，现在我们分析这个函数。
1. 流程图
2.反汇编代码有点多，就不发上来了。
四、 关于 Safe VEH机制（分析IsValidHander函数）
未完待续···
