26种对付反调试的方法(13)

链中的最后一部分是系统分配的默认处理程序。如果以前没有异常的处理程序，则系统处理程序将转到注册表以获取

HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionAeDebug 

根据AeDebug密钥值，应用程序将被终止或控制被传送到调试器。调试器路径应在调试器REG_SZ中指示。

在创建新进程时，系统会向其添加主要SEH Frame。主SEH Frame的处理程序也由系统定义。主要的SEH Frame本身几乎位于最初为进程分配的堆栈内存中。 SEH处理函数签名如下所示：

typedef EXCEPTION_DISPOSITION (*PEXCEPTION_ROUTINE) ( 
    __in struct _EXCEPTION_RECORD *ExceptionRecord, 
    __in PVOID EstablisherFrame, 
    __inout struct _CONTEXT *ContextRecord, 
    __inout PVOID DispatcherContext 
    ); 

如果正在调试应用程序，在int 3h中断生成后，控制将被调试器拦截。否则，，控制将被转移

到SEH处理程序。以下代码就是基于SEH Frame的反调试保护：

BOOL g_isDebuggerPresent = TRUE; 
EXCEPTION_DISPOSITION ExceptionRoutine( 
    PEXCEPTION_RECORD ExceptionRecord, 
    PVOID             EstablisherFrame, 
    PCONTEXT          ContextRecord, 
    PVOID             DispatcherContext) 
{ 
    g_isDebuggerPresent = FALSE; 
    ContextRecord->Eip += 1; 
    return ExceptionContinueExecution; 
} 
int main() 
{ 
    __asm 
    { 
        // set SEH handler 
        push ExceptionRoutine 
        push dword ptr fs:[0] 
        mov  dword ptr fs:[0], esp 
        // generate interrupt 
        int  3h 
        // return original SEH handler 
        mov  eax, [esp] 
        mov  dword ptr fs:[0], eax 
        add  esp, 8 
    } 
    if (g_isDebuggerPresent) 
    { 
        std::cout << "Stop debugging program!" << std::endl; 
        exit(-1); 
    } 
    return 0 
} 

（编辑：ASP站长网）