二、C++反作弊对抗实战 (进阶篇 —— 9.利用硬件断点 + 结构化异常 SEH HOOK)

最新推荐文章于 2026-06-17 14:31:15 发布
原创 最新推荐文章于 2026-06-17 14:31:15 发布 · 1.5k 阅读 · 1
标签
#C++ #VC #VEH HOOK
本文介绍了C++中的结构化异常处理（SEH）和向量异常处理（VEH），并详细讲解了如何结合硬件断点进行VEH/SEH HOOK。内容包括SEH和VEH的区别、调试寄存器的作用、硬件断点的限制，以及实际的DLL代码示例和测试过程。最后讨论了对抗此类HOOK的策略。

一、名词解释

　　SEH（Struct Exception Handler，结构化异常）
　　VEH（Vector Exception Handler，向量异常处理）

　　在Windows XP之后，便在基于线程的SEH基础上增加了基于进程的VEH，两者对比如下：

　　1、SEH基于线程，VEH基于进程

　　2、优先级：调试器 > VEH > SEH，即KiUserExceptionDispatcher()函数先检查进程是否处理调试，然后进入VEH，最后进入SEH；

　　3、SEH是单链表，而VEH是双链表，VEH节点可挂在头上或尾上；

二、结构化异常SEH

1.关于SEH介绍

　　结构化异常SEH(Struct Exception Handler)是OS提供给线程来感知和处理异常的一种回调机制。SEH在线程栈上是以单链表的形式存在。

了解本专栏 订阅专栏 解锁全文 超级会员免费看
用SEH技术实现APIHook钩子
03-28
用SEH技术实现API Hook.zip
VEH+硬件断点实现无痕HOOK
09-24
VS2019源码 VEH+硬件断点实现无痕HOOK
7. SEH + 硬件断点HOOK
My classmates
11-04 2607
DLL #include<windows.h> #include <TlHelp32.h> #include <stdio.h> #include <limits.h> typedef HANDLE(WINAPI *OPENTHREAD) (DWORD dwFlag, BOOL bUnknow, DWORD dwThreadId); OPENTHR...
通过硬件断点对抗hook检测
hongduilanjun的博客
04-21 2824
前言 我们知道常见的注入方式有IAT hook、SSDT hook、Inline hook等，但其实大体上可以分为两类，一类是基于修改函数地址的hook，一类则是基于修改函数代码的hook。而基于修改函数地址的hook最大的局限性就是只能hook已导出的函数，对于一些未导出函数是无能为力的，所以在真实的hook中，Inline hook反而是更受到青睐的一方。 hook测试 这里我用win32写了一个MessageBox的程序，当点击开始按钮就会弹窗，这里我写了一个Hook_E9函数用来限制对Message
二、C++反作弊对抗实战 (进阶篇 —— 10.利用硬件断点 + 结构化异常VEH HOOK与对抗方法)
Koma的主页
03-04 1659
本章节详细讲述了VEH HOOK与检测、对抗的方法，本文对应的代码在2.09文件夹中。上面这些都只是一些基础的对抗方法，对抗与绕过都是一次思维上的跳跃，欢迎大家参与讨论并留言！
通过SEH 非inline hook
零点起步
04-15 1749
SEH(Struct Exception Handler,结构化异常) VEH(Vector Exception Handler,向量异常处理) SEH是OS提供给线程来感知和处理异常的一种回调机制。 在Intel Win32平台上，由于FS寄存器问题指向当前的TIB（线程信息块），因此FS:[0]处能找到最新的一个EXCEPTION_REGISTRATION_RECORD结构。 typed
【Windows系统编程】08.异常处理与异常Hook（软件断点Hook，硬件断点Hook）
WdIg-2023的博客
08-19 1173
异常处理，断点寄存器讲解，软件断点Hook，硬件断点Hook
Windows游戏安全逆向：用VEH和硬件断点实现无痕Hook的完整C++代码解析
weixin_30439067的博客
05-08 657
本文深入解析了Windows游戏安全逆向中基于VEH（Vectored Exception Handling）和硬件断点的无痕Hook技术，通过完整的C++代码实现展示如何在不修改内存指令的情况下实现精准拦截。文章详细介绍了VEH与硬件断点的技术原理、核心代码实现及实战技巧，帮助开发者掌握这一高效且隐蔽的Hook方法，适用于游戏安全与逆向工程领域。
TLS反调试技术深度解析与x64dbg实战对抗指南
weixin_30823001的博客
06-17 309
在软件安全与逆向工程领域，反调试技术是保护核心逻辑的关键防线。其基本原理在于检测程序是否处于调试环境，从而采取对抗措施。从技术价值看，反调试不仅用于软件保护，也是恶意软件分析和游戏反作弊的重要研究对象。常见的应用场景包括商业软件保护壳、游戏反作弊系统和恶意代码对抗分析。其中，TLS（线程局部存储）反调试因其执行时机极早、隐蔽性强而成为逆向工程师面临的棘手难题。本文聚焦TLS反调试的核心机制，深入剖析基于进程名检测、调试API探测、异常触发等典型套路，并结合x64dbg调试器提供从定位回调函数到修复入口点的完
Windows内核回调InstrumentationCallback实战：手把手教你实现一个安全的异常监控Hook框架
weixin_42524171的博客
04-29 336
本文深入解析Windows内核回调InstrumentationCallback机制，手把手教你构建安全高效的异常监控Hook框架。通过对比传统异常处理方式，详细展示如何利用KPROCESS结构的0x2c8偏移实现高性能监控，包括回调注册、异常派遣流程优化及硬件断点应用，特别适合游戏安全、反病毒等对隐蔽性要求高的场景。
游戏逆向-2.2VEH+软件/硬件断点实现hook
qq_41709308的博客
03-08 4994
这里设置4个硬件断点后，还可以通过int 3实现软件断点，软件断点的优点在于只破坏一个字节，同时理论上可以下无限多个hook，而硬件断点只限制在四个，当然除了int 3等，还可以通过设置Page_NoAccess达到异常hook，文章中就不再讲述另外的异常hook，如读者有兴趣了解更多可以自行补充，另外上一章的inline hook和软件断点将会留在2.3章实战中演示具体操作。
Hook技术（钩子技术）
weixin_62693307的博客
11-23 1448
这里是在CPU异常的情况下，会根据知道好的函数跳转道哪里去的操作，而该转向哪里去处理这些情况的函数地址，而这些地址会存放道一张表中，让CPU进行查阅，而这里有所不同的是，CPU异常后可能跳转的次数有点多，所有会有多种表存放了跳转的函数地址，所以我们要进行修改的话必须知道每张表中的函数地址，这样我们才可以进行函数地址的修改，从而实现自己的操作。执行系统调用的时候，CPU将从用户模式切换到内核模式，进入内核后，将会根据系统调用的API编号，去找到对应的系统服务函数，实现对应API的功能。
c++硬件断点使用示例
03-18
c++硬件断点使用示例，喜欢调试的同学可以参考一下，应该有用！
在程序中设置读、写、执行的硬件断点
binhualiu1983的博客
06-12 2729
作者Michael Chourdakis,  翻译Binhua Liu 下载源代码 –56.1KB 简介 我是基于以下理由决定写一篇关于硬件断点的文章的： 1，Visual C++只支持硬件写断点，而你可能需要在数据读取时触发断点。 2，或许你用的不是Visual C++，而你的调试器使用的是一些速度很慢的基于软件的断点机制。 3，你可能希望能程序中设置和移除断点。 4，或许你
C/C++断点以及单步调试
My Struggle
07-10 5249
F9进入断点模式 F10单步运行 F5继续多步运行直到遇到下一个断点或者程序结束。 以下博文更为具体：https://blog.csdn.net/lsg_down/article/details/80491296
C++中使用断点写调试方法
热门推荐
vacole的专栏
12-16 1万+
 C/C++ code：f9 —— 设置/取消断点f10 —— 单步执行f11 —— 比f10的步幅小f10在函数的调用时，直接跳过，在f11下，会进入函数体！ f5 —— 执行到下一个断点！    了解调试，首先要知道"断点"这个概念。断点就是程序运行中可能会中断的地方，方便开发者在程序运行的过程中查看程序当前的运行状态，比如变量的值，函数的返回值等等。究竟怎么使用断点呢？ 1.F9在当
[Rootkit] 无痕 hook - 硬件断点
LYSM
06-10 4388
hook方式有多种，这里做了一个系统性的总结对比，如下： https://www.cnblogs.com/theseventhson/p/14324562.html 之前这里做了接受消息的hook，用的就是最初级的hook方式: jmp到我们自己的处理逻辑。上面也分析了，这种方式缺点非常明显；最牛逼的神级hook：VT读写分离前面已经介绍过了，今天继续介绍高级的hook方式：硬件断点； 现代软件开发，尤其是大型软件开发，绝对不可能一步到位，开发期间肯定存在各种bug。为了方便找到这些bug，软件上有专门
VEH Hook 及 检测
零点起步
04-15 1万+
SEH(Struct Exception Handler,结构化异常) VEH(Vector Exception Handler,向量异常处理) SEH是OS提供给线程来感知和处理异常的一种回调机制。 在Intel Win32平台上，由于FS寄存器问题指向当前的TIB（线程信息块），因此FS:[0]处能找到最新的一个EXCEPTION_REGISTRATION_RECORD结构。 typed
黑客爱用的 HOOK 技术
dzqxwzoe的博客
03-05 2200
上面几种 HOOK，修改的都是应用层的函数指针，而操作系统内核中还有一些非常重要的表格，它们的表项中记录了一些更加关键的函数，HOOK 这些表格中的函数是非常高危的操作，操作不当将导致操作系统崩溃。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。执行系统调用的时候，CPU 将从用户模式切换到内核模式，进入内核后，将会根据系统调用的 API 编号，去找到对应的系统服务函数，实现对应 API 的功能。
MySQL导入函数触发器权限错误解决[项目代码]
最新发布
06-19
在MySQL数据库中导入函数或触发器时，若遇到ERROR 1419 (HY000)错误，提示缺少SUPER权限且二进制日志已启用，可通过三种方式解决。首先，可为导入用户授予SUPER、CREATE ROUTINE、ALTER ROUTINE、CREATE TRIGGER、ALTER TRIGGER、CREATE FUNCTION和ALTER FUNCTION等权限。其次，可通过设置全局变量log_bin_trust_function_creators为1来允许所有具有CREATE ROUTINE特权的用户创建此类功能，设置方式包括在服务器启动时指定参数--log-bin-trust-function-creators=1，或通过SET GLOBAL log_bin_trust_function_creators = 1语句动态设置。最后，若不需使用复制功能，可考虑关闭二进制日志记录，即从mysqld启动命令中移除--log-bin选项。这些方法能有效解决因权限和二进制日志限制导致的函数或触发器创建失败问题。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

汪宁宇

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值