PEB结构的获取

最新推荐文章于 2023-12-05 00:31:33 发布

SauceJ

最新推荐文章于 2023-12-05 00:31:33 发布

阅读量3.5k

点赞数

分类专栏： C++ 逆向文章标签： c++ 结构

本文链接：https://blog.csdn.net/nicehunt/article/details/38581447

版权

本文介绍了如何在32位和64位系统中获取PEB（Process Environment Block）结构，包括通过CreateProcess创建新进程获取PEB地址，以及在X64系统下利用GS寄存器找到PEB和TEB（Thread Environment Block）。通过枚举PEB的InInitializationOrderModuleList，可以得到Kernel32的基址。同时，文章提到了X64环境下内联汇编的限制和C语言实现搜索过程。

摘要由CSDN通过智能技术生成

32位获取KERNEL32地址汇编代码PEB结构----枚举用户模块列表。

PEB地址的取得：

1：通过CreateProcess()创建新的被挂起的进程，此时其初始化线程上下文中，ebx 指向其PEB结构， EAX指向其EIP（代码执行地址）

demo:

CreateProcess(NULL, TARGETPROC,
                 NULL, NULL, 0, CREATE_SUSPENDED, NULL, NULL, &si, pi))    
  {
    ctx->ContextFlags=CONTEXT_FULL;
    GetThreadContext(pi->hThread, ctx); //获得线程的所有重要的寄存器CTX