确定kernel32.dll基址的方法

最新推荐文章于 2024-07-22 09:37:32 发布

annhf

最新推荐文章于 2024-07-22 09:37:32 发布

阅读量3.4k

点赞数

文章标签： exception windows struct list 数据结构工具

本文链接：https://blog.csdn.net/annhf/article/details/1424357

版权

本文介绍了确定kernel32.dll基址的三种方法：通过PEB结构、异常处理函数链表（SEH）以及遍历模块链表。详细阐述了每种方法的实现代码和原理，帮助理解如何在Windows系统中定位动态链接库。

摘要由CSDN通过智能技术生成

kernel32.dll这个文件十分重要，它包含很了我们需要使用的函数。比如说，GetProcAdress和LoadLibraryA这个两个函数。想想，通过这两个函数我们就可以得到所有的函数。如果我们确定了这个动态链接库文件的基址，就可以找到这两个函数的偏移量。怎么确定这个动态链接库的基址呢？这里一共有三个方法
1PEB
peb是process environment block的缩写，每个进程都对应着一个PEB数据结构，通过fs：[30h]可以定位到它。PEB结构包含进程堆信息，二进制镜像信息，还有更重要的三个链接列表，它们与已经映射到进程空间的装载模块有关。从模块装载到模块初始化的序列上，这些链接列表的目的都是不同的。初始化链接列表中最有用的信息是kernel32.dll文件总是作为第二个模块被初始化。通过浏览这个列表的第二个入口点，一个人可以确切地得到kernel32.dll的基址。

代码如下：
         push esi
        xor     eax,eax
        mov eax,fs:[eax+0x30] ;fs指向teb结构,teb+0x30地方指向peb结构