搜索PEB结构获取Kernel32.dll基址

最新推荐文章于 2024-05-30 19:35:23 发布
最新推荐文章于 2024-05-30 19:35:23 发布
阅读量3.1k 收藏 2
点赞数
文章标签： module 汇编 平台 c
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/strongxu/article/details/4766062
版权
本文介绍了如何通过TEB结构找到PEB，进一步利用PEB_LDR_DATA中的初始化顺序模块列表，搜索到Kernel32.dll的模块信息。在WinNT平台上，该方法通常能从NTDLL.DLL之后的链表节点获取到Kernel32.dll的基址。
摘要由CSDN通过智能技术生成

    TEB偏移0x30处，即FS:[0x30]地址处保存着一个指针，指向PEB，PEB结构的偏移0xC处保存着另外一个指针ldr，该指针执行PEB_LDR_DATA

image

    该结构的后三个成员是指向LDR_MODULE链表结构中相应三条双向链表头的指针，分别是按照加载顺序、在内存中地址顺序和初始化顺序排列的模块信息结构的指针。

最低0.47元/天 解锁文章
strongxu
关注
确定kernel32.dll基址的方法
annhf的专栏
12-01 3445
kernel32.dll这个文件十分重要，它包含很了我们需要使用的函数。比如说，GetProcAdress和LoadLibraryA这个两个函数。想想，通过这两个函数 我们就可以得到所有的函数。如果我们确定了这个动态链接库文件的基址，就可以找到这两个函数的偏移量。怎么确定这个动态链接库的基址呢？这里一共有三个方法1PEBpeb是process environment block的缩写，每个进程都对
搜索PEB的相关结构获取Kernel32.DLL的基址
FISH 的专栏
01-29 1483
 
学习笔记通过PEB获取kernal32.dll基地址
popkun222的专栏
03-06 1202
原始代码来自PE权威指南 ;------------------------ ; 获取kernel32.dll的基址 ; 从PEB结构中搜索kernel32.dll的基地址 ; 戚利 ; 2010.6.27 ;------------------------ .386 .model flat,stdcall option casemap:none ...
kernel32.dll基址
ListenerForTom的博客
04-01 789
得到KERNEL32.DLL基址的方法assume fs:nothing ;打开FS寄存器 mov eax,fs:[30h] ;得到PEB结构地址 mov eax,[eax + 0ch] ;得到PEB_LDR_DATA结构地址 mov esi,[eax + 1ch] ;InInitializationOrderModuleList l
C++内存地址分配和内存区划分简介
silenough的专栏
07-07 6543
第一部分 C++内存地址分配简介 1 内存地址是从高地址到低地址进行分配的：   int i=1; int j=1; cout 2 函数参数列表的存放方式是，先对最右边的形参分配地址，后对最左边的形参分配地址。 3 Little-endian模式的CPU对操作数的存放方式是从低字节到高字节的 0x1234的存放方式入下： 0X4000 0x34 0X4001 0x12
Win 7下定位kernel32.dll基址及shellcode编写1
08-03
在Windows 7中，可以使用类似上述的技巧来编写能够找到kernel32.dll基址并调用其中的函数，如`CreateProcess`，以启动calc.exe的shellcode。 总之，定位kernel32.dll基地址是编写跨平台、跨版本的Windows shellcode...
利用FS寄存器获取KERNEL32.DLL基址算法的证明
sea
01-09 5041
FS寄存器指向当前活动线程的TEB结构（线程结构）偏移  说明000  指向SEH链指针004  线程堆栈顶部008  线程堆栈底部00C  SubSystemTib010  FiberData014  ArbitraryUserPointer018  FS段寄存器在内存中的镜像地址020  进程PID024  线程ID02C  指向线程局部存储指针
逆向总结（3）-- 无模块遍历API（找到Kernel32.dll）
oBuYiSeng的博客
01-04 1400
很多的时候，我们需要使用到无模块获取到Kernel32.dll的基址，这时候，我们就需要借助FS还完成：       1）通过FS得到TEB的地址          2）TEB偏移0x30处指向的是PEB指针          3）PEB偏移0x0C处指向PEB_LDR_DATA结构指针          4）PEB_LDR_DATA偏移0x1C处是InInitializationOr
转载 获得kernel32.dll基地址
Breaking The Secretes
05-01 1275
获取kernel32.dll映像基址   很久不写关于技术的东西了，由于最近在研究内嵌汇编和机器码的注入，故把下面这段代码列出来。其中C/C++的部分和inline asm的最后一句是我写的。自评：极其缺乏原创精神。
使用 C++ 在当前进程中获取指定模块的基址
最新发布
qq_62989250的博客
05-30 660
使用 C++ 在当前进程中获取指定模块的基址
获取kernel32.dll基址
bcbobo21cn的专栏
01-03 5656
获取kernel32.dll基址 一 原理和概述 找kernel32基地址的方法一般有三种：暴力搜索法、异常处理链表搜索法、PEB法。 暴力搜索法是最早的动态查找kernel32基地址的方法。它的原理是: 几乎所有的win32可执行文件（pe格 式文件）运行的时候都加载kernel32.dll，可执行文件进入入口点执行后esp中存放的一般是 Ker
PEB结构块解析
热门推荐
liutianheng654的博客
03-22 1万+
peb结构块解析： 项目需要获取程序运行的一些状态，目前只能获取寄存器信息，故采用fs寄存器获取peb信息，本文主要探索peb中可以获得的进程信息。 windbg信息如下：win xp 下，和win7不一样，下面为xp环境dt nt!_peb +0x000 InheritedAddressSpace : UChar +0x001 ReadImageFileExecOptions :
kernel32基地址获得学习笔记
ProgrammingRing的专栏
09-08 7111
原文链接:点击打开链接 第一种方法 通过线程初始化时, 获得esp堆栈指针中的ExitThread函数的地址，然后通过搜索获得kernel32.dll的基地址。 线程在被初始化的时，其堆栈指针指向ExitThread函数的地址，windows这样做是为了通过ret返回时来调用ExitThread地址。所以一般我们可以在我们主线程的起始位置(也就是 程序入口点处)通过获得堆栈指针中E
PEB中获取指定名称的DLL的基址
whowho的专栏
06-02 1080
//先从PEB中获取指定名称的DLL的基址 ULONG GetModuleHandleFromProcessPEB(ULONG Peb,char *szDllName) {  PPEB_LDR_DATA pLdrData;  PLDR_DATA_TABLE_ENTRY pLdrDataEntry;  PLIST_ENTRY pListHead,pListNext;  ANSI_STRI
windbg学习23（!peb和PEB结构）
weixin_30487201的博客
01-10 515
调试器用户经常会需要查看在启动调试目标时使用了哪些命令行参数，这个信息是保存在PEB中的，可以通过!peb来获取，这个命令将解析PEB并给出完整的命令行，所有已加载DLL的位置，以及环境变量等. 0:000> !peb PEB at 7ffdf000 InheritedAddressSpace: No ReadImageFileExecOptions: N...
Windows x64平台 获取PEB表，并获取kernel32.dll的基址,并获取它的函数
MusicMan
05-31 5156
参考了：https://www.cnblogs.com/aliflycoris/p/5185097.html 和另一位博主 话不多说，进入正题： 首先是获取PEB基址，先得懂怎么在64位平台嵌入汇编代码：参考这位博主https://blog.csdn.net/Giser_D/article/details/90670974 汇编代码： .CODE GetPeb PRO...
PEB结构----枚举用户模块列表(图)
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
09-04 2092
本文在主主要以上述两篇文章为基础，对PEB的结构进行了详细的分析，重点是在揭示PEB结构中的list—entry的应用，并且以C语言Code进行实证。 　　本文主要分为四个部分，第一部分说明PEB地址如何获得;第二部分说明PEB的框架结构;第三部对PEB中的List-Entry结构进行了详细剖析，第四部分给出了枚举用户模块列表的代码。 　　-----------------------
从PEB遍历进程所有模块
YL_WH的专栏
12-11 4445
<br /> int main(int argc, char* argv[]) { BYTE *pbytePEB = NULL; _asm { mov eax, dword ptr fs:[0x30] mov pbytePEB, eax } printf("PEB Addr: %x/n", pbytePEB); BYTE *pLdrData = pbytePEB + 0x0C; pLdrData = (BYTE *)*(DWORD *)pLdrDa
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值