PEB TEB结构体使用

最新推荐文章于 2023-12-29 18:32:49 发布

左手CN

最新推荐文章于 2023-12-29 18:32:49 发布

阅读量4.8k

点赞数 4

分类专栏：逆向及DIY 文章标签： PEB TEB PE

本文链接：https://blog.csdn.net/chriz_w/article/details/52096552

版权

当一个可执行文件被操作系统加载成进程后，OS会为每个进程维护一个PEB（Process Environment Block）和TEB（Thread Environment Block）结构体。FS段寄存器指向TEB，其中0x30偏移处存储PEB指针，通过这个指针可以获取进程的PEB地址，进一步读取进程信息，如映像基址等。此外，PEB也可用于调试检测。

摘要由CSDN通过智能技术生成

PEB TEB结构体使用

一个可执行文件被OS加载到内存，并处理完成相关的模块加载，导入表处理……及其他必须处理后，形成一个进程。在OS内核中保存有一份关于这个进程的身份证信息，就是平常看到的HANDLE，叫进程句柄。。。

OS完成加载后，FS段寄存器指向当前的TEB结构,具体TEB结构如下：

kd> dt _teb
nt!_TEB
   +0x000 NtTib            : _NT_TIB
   +0x01c EnvironmentPointer : Ptr32 Void
   +0x020 ClientId         : _CLIENT_ID  ：当前进程ID
   +0x028 ActiveRpcHandle  : Ptr32 Void
   +0x02c ThreadLocalStoragePointer : Ptr32 Void
   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB 当前进程的PEB指针
   +0x034 LastErrorValue   : Uint4B
   +0x038 CountOfOwnedCriticalSections : Uint4B
   +0x03c CsrClientThread  : Ptr32 Void
   +0x040 Win32ThreadInfo  : Ptr32 Void
   +0x044 User32Reserved   : [26] Uint4B
   +0x0ac UserReserved     : [5] Uint4B
   +0x0c0 WOW32Reserved    : Ptr32 Void
   +0x0c4 CurrentLocale    : Uint4B
   +0x0c8 FpSoftwareStatusRegister : Uint4B
   +0x0cc SystemReserved1  : [54] Ptr32 Void
   +0x1a4 ExceptionCode    : Int4B
   +0x1a8 ActivationContextStack : _ACTIVATION_CONTEXT_STACK
   +0x1bc SpareBytes1      : [24]

最低0.47元/天解锁文章