SEHの深淵：例外処理を武器に変える攻撃者と、それを封じる防衛の最前線
システムエンジニアが「堅牢なアーキテクチャ」を設計する際、多くの者はTLSの暗号スイートや公開鍵暗号のビット数に目を向ける。しかし、いざランタイムの深淵に潜ると、暗号化された通信路の先にある「メモリ」という名の戦場で、OSの例外処理機構がハッカーの踏み台にされている現実に直面する。
今回は、現代の攻撃者が依然として虎視眈々と狙う「構造化例外ハンドラ（SEH）」の悪用と、それを無効化する防御メカニズム「SafeSEH」および「SEHOP」について、現場のインシデントハンドリングの視点から掘り下げていこう。
—
1. なぜ、SEHが攻撃の標的になるのか
Windowsの例外処理機構（SEH）は、スタック上に構築されたチェーン構造だ。プログラムがクラッシュした際、OSはこのチェーンを辿り、登録されたハンドラを実行して回復を試みる。
攻撃者が狙うのは、このスタック上にある「例外レコード」の書き換えだ。スタックオーバーフローでSEHのポインタを自作コードのアドレスに上書きできれば、例外が発生した瞬間に制御権を奪取できる。これは、ASLR（アドレス空間配置のランダム化）を無効化する攻撃手法において、極めて強力な「確実な実行経路」となる。
2. SafeSEH：静的な防衛ライン
SafeSEH（Safe Structured Exception Handling）は、コンパイル時にバイナリ内に「正当なハンドラのリスト」を埋め込む手法だ。例外発生時、OSはスタック上のハンドラがこのリストに含まれているかを確認する。
もしリストに存在しないアドレスへジャンプしようとすれば、即座にプロセスを終了させる。
実務上のポイント：コンパイルフラグの徹底
開発環境のIDEやビルドパイプラインで、このオプションが正しく有効化されているかを確認せよ。Visual Studioであれば、以下のフラグが必須だ。
# コンパイルおよびリンク時のフラグ設定
# /SafeSEH は、イメージ内に例外ハンドラのテーブルを作成し、検証を行う
cl /GS /SafeSEH source.cただし、SafeSEHは「静的なリスト」に基づくため、動的に生成されたメモリ領域（ヒープやJITコンパイル領域）に配置されたコードへのジャンプは防げない。ここが防衛の限界点である。
3. SEHOP：動的な正当性検証
SEHOP（Structured Exception Handling Overwrite Protection）は、スタック上のSEHチェーンを「末尾まで」検証する動的なメカニズムだ。
攻撃者がSEHレコードを改ざんしても、チェーンの整合性は崩れる。SEHOPは例外が発生するたびに、スタック内の全ハンドラを走査し、チェーンの終端がシステム定義の Final Exception Handler に到達するかをチェックする。もしチェーンが途中で途切れていれば、それは攻撃の証拠として処理される。
サーバーサイドでの適用設定（レジストリ）
多くのインフラエンジニアが見落としがちなのが、OSレベルでのSEHOPの有効化だ。サーバーのセキュリティ強化においては、以下のレジストリキーを確認することを推奨する。
# 管理者権限のPowerShellで実行し、SEHOPを強制有効化する
# 0: 無効, 1: 有効, 2: 監査モード
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\kernel" -Name "DisableExceptionChainValidation" -Value 04. チーフホワイトハッカーの視点：アーキテクチャの未来
ここまでの防御技術は、あくまでOSレベルの「パッチ」に過ぎない。真のセキュリティアーキテクトは、より上位のレイヤで攻撃を無力化する。
- 耐量子暗号への布石: 今後、RSAやECCが解読される時代が到来しても、メモリアクセスの脆弱性は残る。
SafeSEHのようなランタイム防御と、メモリセーフな言語（Rust等）への移行を組み合わせた「二層防御」が、これからの標準となる。 - ガードレイルとAI: 最近の生成AIに対するプロンプトインジェクション防御と同じように、メモリ操作においても「許可された操作以外は即時遮断」という厳格なガードレイルが必要だ。特に制御フロー整合性（CFG: Control Flow Guard）は、SEHの脆弱性を根本から封じ込める次世代の防衛技術である。
監査の心得
脆弱性診断のレポートを作る際、「SEHが脆弱である」という記述で満足してはならない。「どのモジュールがSafeSEHで保護されておらず、なぜ動的検証を回避できたのか」というメモリレイアウトの深層を指摘し、コンパイル設定の不備からOSポリシーの乖離までを網羅するのが、プロフェッショナルの仕事だ。
セキュリティとは、決して単一のツールで完結するものではない。メモリのビットが反転するその瞬間まで、我々はアーキテクトとして、攻撃者の思考を先回りし続けなければならないのだ。
コメント