深度探索SEHWindows漏洞防护与利用技术
SEH的基础概念
SEH全称为Structured Exception Handling，即结构化异常处理，它是Windows操作系统中用于异常处理的一种机制。SEH通过在程序执行过程中设置一系列的异常处理表来实现，这些表包含了对应的异常类型以及相应的回调函数，以便在发生特定类型的异常时能够正确地进行错误信息收集和恢复操作。
SEH如何工作
当一个程序执行某个代码段时，如果发生了某种预定义的错误或异常（如访问-violation、divide-by-zero等），CPU会生成一个硬件 异常，并将控制权转移到内核模式下，接着内核会检查当前线程中的SEH链表，找到最接近栈顶的一个有效SEH记录，然后调用其所指向的回调函数。这个回调函数通常被称为“例外过滤器”或者“错误处理函数”，它负责捕获该类别的问题，并尝试进行必要的修复或通知用户。
SEH与漏洞利用
由于SEH机制提供了一种强大的工具以供攻击者使用，他们可以利用它来绕过一些安全措施，如DEP（Data Execution Prevention）保护。这就是为什么在编写恶意软件和网络钓鱼攻击时，攻击者经常会寻求破坏正常运行时间短暂而且不引起警报信号的情况下利用这些技术。
使用EIP控制流劫持
为了使我们能够更深入地理解如何利用这项技术，我们需要了解一下EIP（Instruction Pointer）的概念。在Windows环境中，当一条指令完成后，CPU就会根据EIP寄存器中的值继续执行下一条指令。如果我们能控制EIP寄存器，那么我们就可以决定应用程序将要执行哪个地址。这是一种非常危险但也非常强大的方式，因为它允许攻击者完全重写目标程序，从而获得远程代码执行权限。
SEH缓冲区溢出漏洞利用示例
缓冲区溢出是一种常见且危险的问题，其中数据被写入到非预期的地方从而导致严重问题，比如可能导致系统崩溃、拒绝服务攻击甚至远程代码注入。对于那些没有经过适当保护的人员来说，这是一个潜在威胁。例如，如果一个简单易受影响的小型应用程序没有适当地初始化其内存分配，那么它们可能容易受到这样的问题影响。在这种情况下，一旦发现并成功实施了缓冲区溢出的技巧，就有可能干扰或破坏整个计算机系统。
