國際會議范文(編輯修改稿)
2024-09-06 14:42 本頁面
【文章內容簡介】 理例程。如果應該發(fā)送，并且目標程序正在被調試 .則系統(tǒng)掛起程序 。如果程序沒有被調試或者調試器未能處理異常，系統(tǒng)繼續(xù)查找是 否安裝了線程相關的異常處理例程。如果已經(jīng)安裝，系統(tǒng)就把異常發(fā)送給 SEH 處理例程。每個線程相關的異常處理例程可以處理或者不處理這個異常，如果它不處理并且安裝了多個線程相關的異常處理例程可交由 鏈起來的其他例程處理 。如果這些 SEH 處理例程均不處理異常，且程序處于被調試狀態(tài)，操作系統(tǒng)會再次通知調試器 。如果程序未處于被調試狀態(tài)或者調試器沒有能夠處理，并且程序調用SetUnhandledExceptionFilter 函數(shù)安裝了進程相關的異常處理例程的話，系統(tǒng)轉向對它的調用 。如果沒有安裝進程相關的異常處理例程或者它沒有 處理這個異常，系統(tǒng)會調用默認的異常處理例程，通常顯示一個對話框，用戶可以選擇 “ 關閉 ” 或者可以將程序附加到調試器的 “ 調試 ” 按鈕。如果沒有可以附加的調試器或調試器也不處理，系統(tǒng)就對線程異常處理句柄進行展開做最后的清理工作，最終調用 ExitProcess 終結程序。通過對系統(tǒng)異常處理流程分析可知，當應用程序執(zhí)行過程中發(fā)生異常時，系統(tǒng)可在三個層次上完成異常處理：調試器、進程、線程。線程層次的異常處理即 SEH，能夠準確定位異常的信息，更加靈活、隱蔽的實現(xiàn)反跟蹤的功能，是本文研究的主要方面。下面深入分析 SEH 的工作原理。 系統(tǒng)級處理機制， SEH 作為系統(tǒng)內部處理異常的一種機制，其工作主要在系統(tǒng)級完成，因此掌握系統(tǒng)內部異常處理的工作原理是研究基于 SEH 的軟件反跟蹤的關鍵。下面圍繞異常處理例程深入分析系統(tǒng)級異常處理機制。異常發(fā)生時，系統(tǒng)執(zhí)行 KiUserExceptionDispatcher 函數(shù)并調用 RtlDispatchException 啟動對注冊的異常處理例程的查找。如果找到的處理例程處理了異常并繼續(xù)執(zhí)行，則對 RtlDispatchException 的調用不再返回。否則，有兩種可能：調用 NtContinue 使程序繼續(xù)或產生 另一個異常。若是后者，異常不再繼續(xù)，進程必須終止。 RtlDispatchException 函數(shù)遍歷異常幀，利用獲得的指向 EXCEPTION_REGISTRATIONS 鏈表的指針遍歷每一個節(jié)點查找異常處理例程 ,并通過 RtlpExecuteHandlerForException 完成異常處理例程的調用，根據(jù)RtlpExecuteHandlerForException 的反饋信息， RtlDispatchException 或者繼續(xù)遍歷異常幀，或者產生另一個異常，最終將控制送至 ExecuteHandler 函數(shù)， 由該函數(shù)通過 EXCEPTION_REGISTRATION 的 handler 域調用異常處理例程，對程序執(zhí)行中產生的異常進行處理。 SEH 在軟件反跟蹤中的主要應用方式是調試工具的檢測、硬件斷點的去除、改變程序執(zhí)行順序等，但這些反跟蹤技術相對比較成熟，很容易被解除者發(fā)現(xiàn)并成功解除。本文所介紹的是一種更加隱蔽，效果更好的反跟蹤方式：單步異常 抽取代碼法。 在程序的正常執(zhí)行序列中設置功能請求標志位，之后觸發(fā)單步異常，進入異常處理例程后根據(jù)標志位完成所抽取的相應的功能，繼續(xù)程序的運行。這樣，如果解除者不能發(fā)現(xiàn)異常 處理例程的存在，將無法實現(xiàn)該功能。這是因為異常發(fā)生后，調試器接管了異常，而不會去調用作者安裝的實現(xiàn)具體功能的異常處理例程，從而達到反跟蹤的目的。 利用單步異常實現(xiàn)反跟蹤的具體過程是安裝異常處理例程，在程序開始處將異常處理函數(shù)地址放入EXCEPT
規(guī)章制度相關推薦
鄂ICP備17016276號-1