通过TopStack方法获取kernel基址简介

1、简介

      本地线程的堆栈里偏移1CH(或者18H)的指针指向kernel32.dll内部，而fs:[0x18]指向当前线程而且往里四个字节指向线程栈，
      结合堆栈的top pointer进行对齐遍历，找到PE文件头（DLL的文件格式）的“MZ”MSDOS标志，就拿到了kernel32.dll基址。
先从Windbg里查看一下：
0:000> dt -v -r _NT_TIB $teb
struct _NT_TIB, 8 elements, 0x1c bytes
         +0x000 ExceptionList          : 0x0013fd0c struct _EXCEPTION_REGISTRATION_RECORD, 2 elements, 0x8 bytes
            +0x000 Next                   : 0xffffffff struct _EXCEPTION_REGISTRATION_RECORD, 2 elements, 0x8 bytes
               +0x000 Next                   : ???? 
               +0x004 Handler                : ???? 
            +0x004 Handler                : 0x7c92ee18              _EXCEPTION_DISPOSITION        ntdll!_except_handler3+0
         +0x004 StackBase              : 0x00140000