两种异常(CPU异常、用户模拟异常)的收集

2020 年 4 月 24 日
筆記
Windows内核分析

Windows内核分析索引目录：//www.cnblogs.com/onetrainee/p/11675224.html

两种异常(CPU异常、用户模拟异常)的收集

文章的核心：异常收集的是什么？（TrapFrame与ExceptionRecord）；如何收集异常？（看文章）。

1. 异常的分类

　　① CPU指令异常（比如除零异常） CPU运行检测到；

　　② 用户模拟异常（throw 1）

　　其在收集是存在不同，但在派发时和处理时是完全相同的，下面我们就来分析一下其存在的不同。

2. CPU指令异常 – 除零异常（分析）

　　1）Trap00函数分析

　　　　除零异常会引发中断，其执行 Trap00 函数，该函数逆向分析如下，我们在三环进零环时，已经学习过一个_TrapFrame结构，其本质也是填写该结构。

　　　　注意，我们应该清楚，TrapFrame结构不只是三环进零环使用，而是只要走IDT表都要使用该结构，其是通过TrapFrame怎么返回，至于从三环还是零环进来这不重要。

　　　　其分析情况如下图，Trap00总结做已下事情：

　　　　① 保存TrapFrame基本的信息；

　　　　② 检查DebugActive是否存在调试器，若存在调试器，则保存Dr相关寄存器；

　　　　③ 判断来自内核或三环，来确定其错误号(0xc0000094/0xc0000095)；

　　　　④ 其最后有三次机会走CommonDispatchException函数。

　　2) CommonDispatchException 异常记录函数分析

　　　　该函数就是生成ExceptionRecord这个结构体，填写完成，然后调用nt!KiDispatchException进行下一步分析（三环的模拟异常直接在三环形成，然后拷贝到零环）。

　　　　我们要知道ExceptionRecord的作用：存储了异常码、异常属性、异常记录（链表，多次出现异常时记录）、异常发生地址、异常有关参数。

　　　　其中该函数的重要一点：其ExceptionFlags置为0，我们之后关注KiDispatchException如何处理的。

3.用户模拟异常分析

　　像thorw 1 这种引发的是用户模拟异常，我们下面就来分析一下如下代码：

#include "stdafx.h"
#include <windows.h>

int main(int argc, char* argv[])
{
    throw 11;
    
    return 0;
}

　　9:        throw 11;
　　00401028   mov         dword ptr [ebp-4],0Bh
　　0040102F   push        offset __TI1H (00423580)
　　00401034   lea         eax,[ebp-4]
　　00401037   push        eax
　　00401038   call        __CxxThrowException@8 (004011e0)

　　1）CxxThrowException反汇编分析

　　　　如下是CxxThrowException函数的反汇编，该函数需要两个参数，一个是我们模拟的代码，另外一个是ExceptionList，我们下面详细分析该段代码的执行流程：

　　　　004011E0   push        ebp
　　　　004011E1   mov         ebp,esp
　　　　004011E3   sub         esp,20h
　　　　004011E6   push        esi
　　　　004011E7   push        edi
　　　　004011E8   mov         ecx,8
　　　　004011ED   mov         esi,offset string “The value of ESP was not properl”…+0E0h (00422118)
　　　　004011F2   lea         edi,[ebp-20h]
　　　　004011F5   rep movs    dword ptr [edi],dword ptr [esi]
　　　　// 复制一段结构体
　　　　004011F7   mov         eax,dword ptr [ebp+8]
　　　　004011FA   mov         dword ptr [ebp-8],eax
　　　　004011FD   mov         ecx,dword ptr [ebp+0Ch]
　　　　00401200   mov         dword ptr [ebp-4],ecx
　　　　// 传入参数
　　　　00401203   lea         edx,[ebp-0Ch]
　　　　00401206   push        edx // 参数指针
　　　　00401207   mov         eax,dword ptr [ebp-10h]
　　　　0040120A   push        eax // 参数个数
　　　　0040120B   mov         ecx,dword ptr [ebp-1Ch]
　　　　0040120E   push        ecx // 异常标志位
　　　　0040120F   mov         edx,dword ptr [ebp-20h]
　　　　00401212   push        edx // 异常码
　　　　00401213   call        dword ptr [__imp__RaiseException@16 (0042a154)]