typedef struct _PEB { UCHAR InheritedAddressSpace; // 00h UCHAR ReadImageFileExecOptions; // 01h UCHAR BeingDebugged; // 02h 这里QAQ UCHAR Spare; // 03h ...
转载
2021-08-26 16:38:00
43阅读
2评论
PEB及LDR链
PEB地址的取得 在NT内核系统中fs寄存器指向TEB结构，TEB+0x30处指向PEB结构，PEB+0x0c处指向PEB_LDR_DATA结构，PEB_LDR_DATA+0x1c处存放一些指向动态链接库信息的链表地址，win7下第一个指向ntdl.dll,第三个就是kernel32.dll的。
typedef struct _TEB
{
NT_TIB Tib; /* 0
转载
2019-11-14 21:40:00
836阅读
typedef struct _PEB_LDR_DATA 2 { 3 ULONG Length; // +0x00 4 BOOLEAN Initialized; // +0x04 5 PVOID SsHandle; // +0x08 6 LIST_ENTRY InLoadOrderModuleLis ...
转载
2021-08-26 16:39:00
292阅读
2评论
PEB TEB结构体使用一个可执行文件被OS加载到内存，并处理完成相关的模块加载，导入表处理……及其他必须处理后，形成一个进程。在OS内核中保存有一份关于这个进程的身份证信息，就是平常看到的HANDLE，叫进程句柄。。。
OS完成加载后，FS段寄存器指向当前的TEB结构,具体TEB结构如下：
kd> dt _tebnt!_TEB+0x000 NtTib : _NT_TIB
+0x01c
转载
2019-11-14 12:44:00
369阅读
2评论
在开始使用TEB/PEB获取进程或线程ID之前，我想有必要解释一下这两个名词，PEB指的是进程环境块（Process Environment Block），用于存储进程状态信息和进程所需的各种数据。每个进程都有一个对应的PEB结构体。TEB指的是线程环境块（Thread Environment Block），用于存储线程状态信息和线程所需的各种数据。每个线程同样都有一个对应的TEB结构体。
PEB
姜姜姜姜 ··················· ~！ 如题，PEB 里其实本来有很多可以用来检测调试器的成员（虽然有的本意不一定...
原创
2022-07-19 10:25:43
116阅读
PCB：进程控制块，实际是一个结构体，放在sched.h文件中，Linux下可以通过whereis sched.h命令查看具体路径 该结构体主要包含： 1.进程id 用于区别进程 2.进程的状态：就绪、运行、挂起、停止
3.进程切换时需要保存和恢复的一些CPU寄存器 寄存器放在CUP中，A程序和B程序分时执行的时候，A占用CPU执行一定时间，CPU便被B占用了，然后又轮到A执行
枚举进程模块的方法有很多种，常见的有枚举PEB和内存搜索法，今天，先来看看实现起来最简单的枚举PEB实现获取进程模块列表。 首先，惯例是各种繁琐的结构体定义。需要包含 ntifs.h 和 WinDef.h, 此处不再列出，各位看官根据情况自行添加。 [cpp] view plain copy pri
转载
2021-07-20 16:45:33
1080阅读
PEB（Process Environment Block，进程环境块）存放进程信息，每
原创
2023-05-10 20:05:40
224阅读
PEB 反调试参考这篇文章 没错，这也是我写的。（/手动滑稽） 把之前的程序用原版 OD 打开，根据
原创
2022-07-19 10:25:34
157阅读
0x01 结构探究先在win7 x86下通过windbg来探究通过peb来得到进程模块的步骤： 命令!process 0 0 exeplorer.exe 先获取到explorer.exe的EPROCESS的地址，如图我们可以看到EPROCESS的地址为:0x87782d40 ,PEB的地址为:0x7ffdf000 使用 .process /p /r 87e
所以 ，我们获取到了这个结构.因为是链表.可以遍历链表. 根据DllBase判断 你的模块基址跟
原创
2023-07-06 11:21:23
196阅读
PEB 中有一个成员 Ldr： typedef struct _PEB { UCHAR InheritedAddressSpace; UCHAR ReadImageFileExecOptions; UCHAR BeingDebugged; UCHAR BitField; ULONG ImageUse
原创
2022-05-23 20:21:11
245阅读
LyScript中默认并没有提供获取进程堆基址的函数，不过却提供了获取PEB/TE
原创
2022-09-17 15:54:48
156阅读
LyScript中默认并没有提供获取进程堆基址的函数，不过却提供了获取PEB/TEB的函数，以PEB获取为例，可以调用。如
原创
2023-07-06 10:06:37
21阅读
原理 PEB 中有一个成员 Ldr： typedef struct _PEB{ UCHAR InheritedAddress...
原创
2022-07-20 11:05:07
155阅读
PEB 中有一个成员 Ldr： typedef struct _PEB
原创
2023-07-06 10:27:43
217阅读
