JIURL玩玩Win2k进程线程篇 TEB

JIURL玩玩Win2k进程线程篇 TEB

作者: JIURL

主页: http://jiurl.yeah.net

日期: 2003-7-30

TEB，Thread Environment Block，线程环境块。位于用户地址空间。在比 PEB 所在地址低的地方，比如 0x7FFDF000，0x7FFDE000。每个线程都有自己的一个 TEB。由于 TEB 在用户地址空间，所以本进程中运行在用户模式下的代码就可以访问 TEB 结构。Win2k Build 2195 中一个线程的 ETHREAD 结构偏移 +020 处的 *Teb 指向这个线程的 TEB 结构。在 undocumented.ntinternals.net （需要注意的是这是个非官方的站点）我们可以找到 TEB 及其相关结构的定义。从 kd 中也可以找到一些相关结构的定义。我们首先列出结构的定义，然后对一些内容进行说明。 // 来自 undocumented