Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html
初识VEH链（用户异常派发的进一步探究）
VEH链是进程处理异常的一个非常重要的机制。
前面我们分析到用户异常进入内核之后会再次返回到R3层调用KeExceptionDispatcher函数尝试处理。
该函数的主要目的就是搜索VEH找到异常的解决方案，如果未找到会再次向零环抛出异常。
一、通过C代码来实现VEH挂载
如下代码，VEH是一个进程全局异常处理链表。
VEH只能处理单个进程的，后面的SEH在内核中处理全局的。
// veh.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
// #include "pch.h"
#include <iostream>
#include <Windows.h>
LONG NTAPI MyVeH(struct _EXCEPTION_POINTERS *ExceptionInfo) {
//
// 检测到 c0000094 错误并进行处理.
//
if (ExceptionInfo->ExceptionRecord->ExceptionCode = 0xc0000094) {
MessageBoxA(NULL, NULL, NULL, NULL); //
// 方法一：除法汇编代码占两个字节，EIP+2跳过即可
//
//ExceptionInfo->ContextRecord->Eip += 2; //
// 方法二：修改ECX寄存器(原来该寄存器为0）
//
ExceptionInfo->ContextRecord->Ecx = ;
return EXCEPTION_CONTINUE_EXECUTION; }
return EXCEPTION_CONTINUE_SEARCH;
}
int main()
{
//
// 将我们的异常处理函数挂在VEH头
//
AddVectoredExceptionHandler(TRUE, MyVeH); //
// 使用汇编代码产生c0000094除零错误
//
_asm {
mov eax,
mov ecx,
idiv ecx
}
getchar();
std::cout << "Hello World!\n";
}
二、 AddVectoredExceptionHandler（ntdll.dll）反汇编代码解读
该注意，其挂载的MyVeH函数会进入内核进行加密，具体加密使用xor，秘钥通过系统当前时间来计算得。
1. 流程图
2. 反汇编代码解读
.text:7C9625F9 ; START OF FUNCTION CHUNK FOR _RtlCallVectoredExceptionHandlers@
.text:7C9625F9
.text:7C9625F9 loc_7C9625F9: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+↑j
.text:7C9625F9 mov eax, [ebp+arg_0]
.text:7C9625FC push ebx
.text:7C9625FD push esi
.text:7C9625FE mov [ebp+var_8], eax
.text:7C962601 mov eax, [ebp+arg_4]
.text:7C962604 mov ebx, offset _RtlpCalloutEntryLock
.text:7C962609 push ebx
.text:7C96260A mov [ebp+var_4], eax
.text:7C96260D call _RtlEnterCriticalSection@ ; RtlEnterCriticalSection(x)
.text:7C962612 mov esi, _RtlpCalloutEntryList
.text:7C962618 jmp short loc_7C96262F
.text:7C96261A ; ---------------------------------------------------------------------------
.text:7C96261A
.text:7C96261A loc_7C96261A: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D1D↓j
.text:7C96261A push dword ptr [esi+]
.text:7C96261D call _RtlDecodePointer@ ; RtlDecodePointer(x)
.text:7C962622 lea ecx, [ebp+var_8]
.text:7C962625 push ecx
.text:7C962626 call eax
.text:7C962628 cmp eax, 0FFFFFFFFh
.text:7C96262B jz short loc_7C962647
.text:7C96262D mov esi, [esi]
.text:7C96262F
.text:7C96262F loc_7C96262F: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D04↑j
.text:7C96262F cmp esi, edi
.text:7C962631 jnz short loc_7C96261A
.text:7C962633 mov byte ptr [ebp+arg_0+],
.text:7C962637
.text:7C962637 loc_7C962637: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D37↓j
.text:7C962637 push ebx
.text:7C962638 call _RtlLeaveCriticalSection@ ; RtlLeaveCriticalSection(x)
.text:7C96263D mov al, byte ptr [ebp+arg_0+]
.text:7C962640 pop esi
.text:7C962641 pop ebx
.text:7C962642 jmp loc_7C94A92F
.text:7C962647 ; ---------------------------------------------------------------------------
.text:7C962647
.text:7C962647 loc_7C962647: ; CODE XREF: RtlCallVectoredExceptionHandlers(x,x)+17D17↑j
.text:7C962647 mov byte ptr [ebp+arg_0+],
.text:7C96264B jmp short loc_7C962637
.text:7C96264B ; END OF FUNCTION CHUNK FOR _RtlCallVectoredExceptionHandlers@
.text:7C96264D ; ---------------------------------------------------------------------------
.text:7C96264D ; START OF FUNCTION CHUNK FOR _RtlAddVectoredExceptionHandler@
.text:7C96264D
.text:7C96264D loc_7C96264D: ; CODE XREF: RtlAddVectoredExceptionHandler(x,x)+3C↑j
.text:7C96264D mov eax, _RtlpCalloutEntryListBlink ; 挂在Veh链尾部
.text:7C962652 mov [esi+_VECTORED_EXCEPTION_NODE.ListEntry.Flink], offset _RtlpCalloutEntryList
.text:7C962658 mov [esi+_VECTORED_EXCEPTION_NODE.ListEntry.Blink], eax
.text:7C96265B mov [eax], esi
.text:7C96265D mov _RtlpCalloutEntryListBlink, esi
.text:7C962663 jmp loc_7C956C53
.text:7C962663 ; END OF FUNCTION CHUNK FOR _RtlAddVectoredExceptionHandler@
.text:7C962668 ; ---------------------------------------------------------------------------
.text:7C962668 ; START OF FUNCTION CHUNK FOR _RtlRemoveVectoredExceptionHandler@
.text:7C962668
.text:7C962668 loc_7C962668: ; CODE XREF: RtlRemoveVectoredExceptionHandler(x)+↑j
.text:7C962668 mov eax, [eax]
.text:7C96266A jmp loc_7C956C85
三. 用户异常的派发
之前我们分析过用户的派发分析到 KiUserExceptionDispatcher(ntdll.dll) 函数，现在我们分析这个函数。
1. 流程图
2.反汇编代码有点多，就不发上来了。
四、 关于 Safe VEH机制（分析IsValidHander函数）
未完待续···
