32 64 peb结构体

最新推荐文章于 2023-12-29 18:32:49 发布
最新推荐文章于 2023-12-29 18:32:49 发布
阅读量2.6k 收藏 1
点赞数
分类专栏： c库补充
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/v2x222/article/details/71082150
版权

作者：双刃剑

QQ：409746848

如需转载 请注明出处

NTDLL_Test!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 SpareBool        : UChar
   +0x004 Mutant           : Ptr32 Void
   +0x008 ImageBaseAddress : Ptr32 Void
   +0x00c Ldr              : Ptr32 _PEB_LDR_DATA
   +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS
   +0x014 SubSystemData    : Ptr32 Void
   +0x018 ProcessHeap      : Ptr32 Void
   +0x01c FastPebLock      : Ptr32 _RTL_CRITICAL_SECTION
   +0x020 SparePtr1        : Ptr32 Void
   +0x024 SparePtr2        : Ptr32 Void
   +0x028 EnvironmentUpdateCount : Uint4B
   +0x02c KernelCallbackTable : Ptr32 Void
   +0x030 SystemReserved   : [1] Uint4B
   +0x034 ExecuteOptions   : Pos 0, 2 Bits
   +0x034 SpareBits        : Pos 2, 30 Bits
   +0x038 FreeList         : Ptr32 _PEB_FREE_BLOCK
   +0x03c TlsExpansionCounter : Uint4B
   +0x040 TlsBitmap        : Ptr32 Void
   +0x044 TlsBitmapBits    : [2] Uint4B
   +0x04c ReadOnlySharedMemoryBase : Ptr32 Void
   +0x050 ReadOnlySharedMemoryHeap : Ptr32 Void
   +0x054 ReadOnlyStaticServerData : Ptr32 Ptr32 Void
   +0x058 AnsiCodePageData : Ptr32 Void
   +0x05c OemCodePageData  : Ptr32 Void
   +0x060 UnicodeCaseTableData : Ptr32 Void
   +0x064 NumberOfProcessors : Uint4B
   +0x068 NtGlobalFlag     : Uint4B
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER
   +0x078 HeapSegmentReserve : Uint4B
   +0x07c HeapSegmentCommit : Uint4B
   +0x080 HeapDeCommitTotalFreeThreshold : Uint4B
   +0x084 HeapDeCommitFreeBlockThreshold : Uint4B
   +0x088 NumberOfHeaps    : Uint4B
   +0x08c MaximumNumberOfHeaps : Uint4B
   +0x090 ProcessHeaps     : Ptr32 Ptr32 Void
   +0x094 GdiSharedHandleTable : Ptr32 Void
   +0x098 ProcessStarterHelper : Ptr32 Void
   +0x09c GdiDCAttributeList : Uint4B
   +0x0a0 LoaderLock       : Ptr32 _RTL_CRITICAL_SECTION
   +0x0a4 OSMajorVersion   : Uint4B
   +0x0a8 OSMinorVersion   : Uint4B
   +0x0ac OSBuildNumber    : Uint2B
   +0x0ae OSCSDVersion     : Uint2B
   +0x0b0 OSPlatformId     : Uint4B
   +0x0b4 ImageSubsystem   : Uint4B
   +0x0b8 ImageSubsystemMajorVersion : Uint4B
   +0x0bc ImageSubsystemMinorVersion : Uint4B
   +0x0c0 ImageProcessAffinityMask : Uint4B
   +0x0c4 GdiHandleBuffer  : [34] Uint4B
   +0x14c PostProcessInitRoutine : Ptr32     void 
   +0x150 TlsExpansionBitmap : Ptr32 Void
   +0x154 TlsExpansionBitmapBits : [32] Uint4B
   +0x1d4 SessionId        : Uint4B
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER
   +0x1e8 pShimData        : Ptr32 Void
   +0x1ec AppCompatInfo    : Ptr32 Void
   +0x1f0 CSDVersion       : _UNICODE_STRING
   +0x1f8 ActivationContextData : Ptr32 _ACTIVATION_CONTEXT_DATA
   +0x1fc ProcessAssemblyStorageMap : Ptr32 _ASSEMBLY_STORAGE_MAP
   +0x200 SystemDefaultActivationContextData : Ptr32 _ACTIVATION_CONTEXT_DATA
   +0x204 SystemAssemblyStorageMap : Ptr32 _ASSEMBLY_STORAGE_MAP
   +0x208 MinimumStackCommit : Uint4B
   +0x20c FlsCallback      : Ptr32 Ptr32 Void
   +0x210 FlsListHead      : _LIST_ENTRY
   +0x218 FlsBitmap        : Ptr32 Void
   +0x21c FlsBitmapBits    : [4] Uint4B
   +0x22c FlsHighIndex     : Uint4B


NTDLL_Test!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 SpareBool        : UChar
   +0x008 Mutant           : Ptr64 Void
   +0x010 ImageBaseAddress : Ptr64 Void
   +0x018 Ldr              : Ptr64 _PEB_LDR_DATA
   +0x020 ProcessParameters : Ptr64 _RTL_USER_PROCESS_PARAMETERS
   +0x028 SubSystemData    : Ptr64 Void
   +0x030 ProcessHeap      : Ptr64 Void
   +0x038 FastPebLock      : Ptr64 _RTL_CRITICAL_SECTION
   +0x040 SparePtr1        : Ptr64 Void
   +0x048 SparePtr2        : Ptr64 Void
   +0x050 EnvironmentUpdateCount : Uint4B
   +0x058 KernelCallbackTable : Ptr64 Void
   +0x060 SystemReserved   : [1] Uint4B
   +0x064 ExecuteOptions   : Pos 0, 2 Bits
   +0x064 SpareBits        : Pos 2, 30 Bits
   +0x068 FreeList         : Ptr64 _PEB_FREE_BLOCK
   +0x070 TlsExpansionCounter : Uint4B
   +0x078 TlsBitmap        : Ptr64 Void
   +0x080 TlsBitmapBits    : [2] Uint4B
   +0x088 ReadOnlySharedMemoryBase : Ptr64 Void
   +0x090 ReadOnlySharedMemoryHeap : Ptr64 Void
   +0x098 ReadOnlyStaticServerData : Ptr64 Ptr64 Void
   +0x0a0 AnsiCodePageData : Ptr64 Void
   +0x0a8 OemCodePageData  : Ptr64 Void
   +0x0b0 UnicodeCaseTableData : Ptr64 Void
   +0x0b8 NumberOfProcessors : Uint4B
   +0x0bc NtGlobalFlag     : Uint4B
   +0x0c0 CriticalSectionTimeout : _LARGE_INTEGER
   +0x0c8 HeapSegmentReserve : Uint8B
   +0x0d0 HeapSegmentCommit : Uint8B
   +0x0d8 HeapDeCommitTotalFreeThreshold : Uint8B
   +0x0e0 HeapDeCommitFreeBlockThreshold : Uint8B
   +0x0e8 NumberOfHeaps    : Uint4B
   +0x0ec MaximumNumberOfHeaps : Uint4B
   +0x0f0 ProcessHeaps     : Ptr64 Ptr64 Void
   +0x0f8 GdiSharedHandleTable : Ptr64 Void
   +0x100 ProcessStarterHelper : Ptr64 Void
   +0x108 GdiDCAttributeList : Uint4B
   +0x110 LoaderLock       : Ptr64 _RTL_CRITICAL_SECTION
   +0x118 OSMajorVersion   : Uint4B
   +0x11c OSMinorVersion   : Uint4B
   +0x120 OSBuildNumber    : Uint2B
   +0x122 OSCSDVersion     : Uint2B
   +0x124 OSPlatformId     : Uint4B
   +0x128 ImageSubsystem   : Uint4B
   +0x12c ImageSubsystemMajorVersion : Uint4B
   +0x130 ImageSubsystemMinorVersion : Uint4B
   +0x138 ImageProcessAffinityMask : Uint8B
   +0x140 GdiHandleBuffer  : [60] Uint4B
   +0x230 PostProcessInitRoutine : Ptr64     void 
   +0x238 TlsExpansionBitmap : Ptr64 Void
   +0x240 TlsExpansionBitmapBits : [32] Uint4B
   +0x2c0 SessionId        : Uint4B
   +0x2c8 AppCompatFlags   : _ULARGE_INTEGER
   +0x2d0 AppCompatFlagsUser : _ULARGE_INTEGER
   +0x2d8 pShimData        : Ptr64 Void
   +0x2e0 AppCompatInfo    : Ptr64 Void
   +0x2e8 CSDVersion       : _UNICODE_STRING
   +0x2f8 ActivationContextData : Ptr64 _ACTIVATION_CONTEXT_DATA
   +0x300 ProcessAssemblyStorageMap : Ptr64 _ASSEMBLY_STORAGE_MAP
   +0x308 SystemDefaultActivationContextData : Ptr64 _ACTIVATION_CONTEXT_DATA
   +0x310 SystemAssemblyStorageMap : Ptr64 _ASSEMBLY_STORAGE_MAP
   +0x318 MinimumStackCommit : Uint8B
   +0x320 FlsCallback      : Ptr64 Ptr64 Void
   +0x328 FlsListHead      : _LIST_ENTRY
   +0x338 FlsBitmap        : Ptr64 Void
   +0x340 FlsBitmapBits    : [4] Uint4B
   +0x350 FlsHighIndex     : Uint4B


NTDLL_Test!_TEB

   +0x000 NtTib            : _NT_TIB
   +0x038 EnvironmentPointer : Ptr64 Void
   +0x040 ClientId         : _CLIENT_ID
   +0x050 ActiveRpcHandle  : Ptr64 Void
   +0x058 ThreadLocalStoragePointer : Ptr64 Void
   +0x060 ProcessEnvironmentBlock : Ptr64 _PEB
   +0x068 LastErrorValue   : Uint4B
   +0x06c CountOfOwnedCriticalSections : Uint4B
   +0x070 CsrClientThread  : Ptr64 Void
   +0x078 Win32ThreadInfo  : Ptr64 Void
   +0x080 User32Reserved   : [26] Uint4B
   +0x0e8 UserReserved     : [5] Uint4B
   +0x100 WOW32Reserved    : Ptr64 Void
   +0x108 CurrentLocale    : Uint4B
   +0x10c FpSoftwareStatusRegister : Uint4B
   +0x110 SystemReserved1  : [54] Ptr64 Void
   +0x2c0 ExceptionCode    : Int4B
   +0x2c8 ActivationContextStack : _ACTIVATION_CONTEXT_STACK
   +0x2e8 SpareBytes1      : [8] UChar
   +0x2f0 GdiTebBatch      : _GDI_TEB_BATCH
   +0x7d8 RealClientId     : _CLIENT_ID
   +0x7e8 GdiCachedProcessHandle : Ptr64 Void
   +0x7f0 GdiClientPID     : Uint4B
   +0x7f4 GdiClientTID     : Uint4B
   +0x7f8 GdiThreadLocalInfo : Ptr64 Void
   +0x800 Win32ClientInfo  : [62] Uint8B
   +0x9f0 glDispatchTable  : [233] Ptr64 Void
   +0x1138 glReserved1      : [29] Uint8B
   +0x1220 glReserved2      : Ptr64 Void
   +0x1228 glSectionInfo    : Ptr64 Void
   +0x1230 glSection        : Ptr64 Void
   +0x1238 glTable          : Ptr64 Void
   +0x1240 glCurrentRC      : Ptr64 Void
   +0x1248 glContext        : Ptr64 Void
   +0x1250 LastStatusValue  : Uint4B
   +0x1258 StaticUnicodeString : _UNICODE_STRING
   +0x1268 StaticUnicodeBuffer : [261] Wchar
   +0x1478 DeallocationStack : Ptr64 Void
   +0x1480 TlsSlots         : [64] Ptr64 Void
   +0x1680 TlsLinks         : _LIST_ENTRY
   +0x1690 Vdm              : Ptr64 Void
   +0x1698 ReservedForNtRpc : Ptr64 Void
   +0x16a0 DbgSsReserved    : [2] Ptr64 Void
   +0x16b0 HardErrorMode    : Uint4B
   +0x16b8 Instrumentation  : [16] Ptr64 Void
   +0x1738 WinSockData      : Ptr64 Void
   +0x1740 GdiBatchCount    : Uint4B
   +0x1744 InDbgPrint       : UChar
   +0x1745 FreeStackOnTermination : UChar
   +0x1746 HasFiberData     : UChar
   +0x1747 IdealProcessor   : UChar
   +0x1748 Spare3           : Uint4B
   +0x1750 ReservedForPerf  : Ptr64 Void
   +0x1758 ReservedForOle   : Ptr64 Void
   +0x1760 WaitingOnLoaderLock : Uint4B
   +0x1768 Wx86Thread       : _Wx86ThreadState
   +0x1780 TlsExpansionSlots : Ptr64 Ptr64 Void
   +0x1788 DeallocationBStore : Ptr64 Void
   +0x1790 BStoreLimit      : Ptr64 Void
   +0x1798 ImpersonationLocale : Uint4B
   +0x179c IsImpersonating  : Uint4B
   +0x17a0 NlsCache         : Ptr64 Void
   +0x17a8 pShimData        : Ptr64 Void
   +0x17b0 HeapVirtualAffinity : Uint4B
   +0x17b8 CurrentTransactionHandle : Ptr64 Void
   +0x17c0 ActiveFrame      : Ptr64 _TEB_ACTIVE_FRAME

   +0x17c8 FlsData          : Ptr64 Void


NTDLL_Test!_TEB1
   +0x000 NtTib            : _NT_TIB
   +0x01c EnvironmentPointer : Ptr32 Void
   +0x020 ClientId         : _CLIENT_ID
   +0x028 ActiveRpcHandle  : Ptr32 Void
   +0x02c ThreadLocalStoragePointer : Ptr32 Void
   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB
   +0x034 LastErrorValue   : Uint4B
   +0x038 CountOfOwnedCriticalSections : Uint4B
   +0x03c CsrClientThread  : Ptr32 Void
   +0x040 Win32ThreadInfo  : Ptr32 Void
   +0x044 User32Reserved   : [26] Uint4B
   +0x0ac UserReserved     : [5] Uint4B
   +0x0c0 WOW32Reserved    : Ptr32 Void
   +0x0c4 CurrentLocale    : Uint4B
   +0x0c8 FpSoftwareStatusRegister : Uint4B
   +0x0cc SystemReserved1  : [54] Ptr32 Void
   +0x1a4 ExceptionCode    : Int4B
   +0x1a8 ActivationContextStack : _ACTIVATION_CONTEXT_STACK
   +0x1bc SpareBytes1      : [24] UChar
   +0x1d4 GdiTebBatch      : _GDI_TEB_BATCH
   +0x6b4 RealClientId     : _CLIENT_ID
   +0x6bc GdiCachedProcessHandle : Ptr32 Void
   +0x6c0 GdiClientPID     : Uint4B
   +0x6c4 GdiClientTID     : Uint4B
   +0x6c8 GdiThreadLocalInfo : Ptr32 Void
   +0x6cc Win32ClientInfo  : [62] Uint4B
   +0x7c4 glDispatchTable  : [233] Ptr32 Void
   +0xb68 glReserved1      : [29] Uint4B
   +0xbdc glReserved2      : Ptr32 Void
   +0xbe0 glSectionInfo    : Ptr32 Void
   +0xbe4 glSection        : Ptr32 Void
   +0xbe8 glTable          : Ptr32 Void
   +0xbec glCurrentRC      : Ptr32 Void
   +0xbf0 glContext        : Ptr32 Void
   +0xbf4 LastStatusValue  : Uint4B
   +0xbf8 StaticUnicodeString : _UNICODE_STRING
   +0xc00 StaticUnicodeBuffer : [261] Wchar
   +0xe0c DeallocationStack : Ptr32 Void
   +0xe10 TlsSlots         : [64] Ptr32 Void
   +0xf10 TlsLinks         : _LIST_ENTRY
   +0xf18 Vdm              : Ptr32 Void
   +0xf1c ReservedForNtRpc : Ptr32 Void
   +0xf20 DbgSsReserved    : [2] Ptr32 Void
   +0xf28 HardErrorMode    : Uint4B
   +0xf2c Instrumentation  : [16] Ptr32 Void
   +0xf6c WinSockData      : Ptr32 Void
   +0xf70 GdiBatchCount    : Uint4B
   +0xf74 InDbgPrint       : UChar
   +0xf75 FreeStackOnTermination : UChar
   +0xf76 HasFiberData     : UChar
   +0xf77 IdealProcessor   : UChar
   +0xf78 Spare3           : Uint4B
   +0xf7c ReservedForPerf  : Ptr32 Void
   +0xf80 ReservedForOle   : Ptr32 Void
   +0xf84 WaitingOnLoaderLock : Uint4B
   +0xf88 Wx86Thread       : _Wx86ThreadState
   +0xf94 TlsExpansionSlots : Ptr32 Ptr32 Void
   +0xf98 ImpersonationLocale : Uint4B
   +0xf9c IsImpersonating  : Uint4B
   +0xfa0 NlsCache         : Ptr32 Void
   +0xfa4 pShimData        : Ptr32 Void
   +0xfa8 HeapVirtualAffinity : Uint4B
   +0xfac CurrentTransactionHandle : Ptr32 Void
   +0xfb0 ActiveFrame      : Ptr32 _TEB_ACTIVE_FRAME
   +0xfb4 FlsData          : Ptr32 Void


//对应的头文件定义

#ifndef __PEB_TEB_H
#define __PEB_TEB_H


#pragma pack(push)
#pragma pack(1)
template <class T>
struct LIST_ENTRY_T
{
    T Flink;
    T Blink;
};


template <class T>
struct UNICODE_STRING_T
{
    union
    {
        struct
        {
            WORD Length;
            WORD MaximumLength;
        };
        T dummy;
    };
    T _Buffer;
};


template <class T, class NGF, int A>
struct _PEB_T
{
    union
    {
        struct
        {
            BYTE InheritedAddressSpace;
            BYTE ReadImageFileExecOptions;
            BYTE BeingDebugged;
            BYTE _SYSTEM_DEPENDENT_01;
        };
        T dummy01;
    };
    T Mutant;
    T ImageBaseAddress;
    T Ldr;
    T ProcessParameters;
    T SubSystemData;
    T ProcessHeap;
    T FastPebLock;
    T _SYSTEM_DEPENDENT_02;
    T _SYSTEM_DEPENDENT_03;
    T _SYSTEM_DEPENDENT_04;
    union
    {
        T KernelCallbackTable;
        T UserSharedInfoPtr;
    };
    DWORD SystemReserved;
    DWORD _SYSTEM_DEPENDENT_05;
    T _SYSTEM_DEPENDENT_06;
    T TlsExpansionCounter;
    T TlsBitmap;
    DWORD TlsBitmapBits[2];
    T ReadOnlySharedMemoryBase;
    T _SYSTEM_DEPENDENT_07;
    T ReadOnlyStaticServerData;
    T AnsiCodePageData;
    T OemCodePageData;
    T UnicodeCaseTableData;
    DWORD NumberOfProcessors;
    union
    {
        DWORD NtGlobalFlag;
        NGF dummy02;
    };
    LARGE_INTEGER CriticalSectionTimeout;
    T HeapSegmentReserve;
    T HeapSegmentCommit;
    T HeapDeCommitTotalFreeThreshold;
    T HeapDeCommitFreeBlockThreshold;
    DWORD NumberOfHeaps;
    DWORD MaximumNumberOfHeaps;
    T ProcessHeaps;
    T GdiSharedHandleTable;
    T ProcessStarterHelper;
    T GdiDCAttributeList;
    T LoaderLock;
    DWORD OSMajorVersion;
    DWORD OSMinorVersion;
    WORD OSBuildNumber;
    WORD OSCSDVersion;
    DWORD OSPlatformId;
    DWORD ImageSubsystem;
    DWORD ImageSubsystemMajorVersion;
    T ImageSubsystemMinorVersion;
    union
    {
        T ImageProcessAffinityMask;
        T ActiveProcessAffinityMask;
    };
    T GdiHandleBuffer[A];
    T PostProcessInitRoutine;
    T TlsExpansionBitmap;
    DWORD TlsExpansionBitmapBits[32];
    T SessionId;
    ULARGE_INTEGER AppCompatFlags;
    ULARGE_INTEGER AppCompatFlagsUser;
    T pShimData;
    T AppCompatInfo;
    UNICODE_STRING_T<T> CSDVersion;
    T ActivationContextData;
    T ProcessAssemblyStorageMap;
    T SystemDefaultActivationContextData;
    T SystemAssemblyStorageMap;
    T MinimumStackCommit;
    T FlsCallback;
    LIST_ENTRY_T<T> FlsListHead;
    T FlsBitmap;
    DWORD FlsBitmapBits[4];
    union{
        DWORD FlsHighIndex;
        T FlsHighIndexDummy;
    };
    
};


typedef _PEB_T<DWORD, DWORD64, 34> jkPEB32;
typedef _PEB_T<DWORD64, DWORD, 30> jkPEB64;


//-------------------------------------------------------------------------------
// TEB
//-------------------------------------------------------------------------------
template<class T>
struct CLIENT_ID_T{
    T UniqueProcess;
    T UniqueThread;
};


template<class T>
struct ACTIVATION_CONTEXT_STACK_T{
    DWORD Flags;
    DWORD NextCookieSequenceNumber;
    T ActiveFrame;
    LIST_ENTRY_T<T> FrameListCache;
};


template<class T>
struct GDI_TEB_BATCH_T{
    union{
        struct  
        {
            DWORD Offset;
        };
        T dummy1;
    };


    T Hdc;
    DWORD Buffer[310];
};


template<class T>
struct Wx86ThreadState_T{
    T CallBx86Eip;
    T DeallocationCpu;
    union {
        struct{
            BYTE UseKnownWx86Dll;
            char OleStubInvoked;
        };
        T dummy;
    };
};


// TIB              0x1c 0x38
// SpareBytes1      24   8


template<class T,int TibSize,int Spare1Size>
struct _TEB_BASE_T{
    BYTE                                Tib[TibSize]                    ;
    T                                   EnvironmentPointer              ;
    CLIENT_ID_T<T>                      ClientId                        ;
    T                                   ActiveRpcHandle                 ;
    T                                   ThreadLocalStoragePointer       ;
    T                                   ProcessEnvironmentBlock         ;
    DWORD                               LastErrorValue                  ;
    DWORD                               CountOfOwnedCriticalSections    ;
    T                                   CsrClientThread                 ;
    T                                   Win32ThreadInfo                 ;
    DWORD                               User32Reserved[26]              ;
    DWORD                               UserReserved[4]                 ;
    union{
        DWORD                           UserReserved5                   ;
        T UserReservedDummy;
    };
    T                                   WOW32Reserved                   ;
    DWORD                               CurrentLocale                   ;
    DWORD                               FpSoftwareStatusRegister        ;
    T                                   SystemReserved1[54]             ;
    union{
        struct{
            DWORD                      ExceptionCode                    ;
        };
        T ExceptionCodeDummy;
    };
    ACTIVATION_CONTEXT_STACK_T<T>       ActivationContextStack          ;
    BYTE                                SpareBytes1[Spare1Size]         ;
    GDI_TEB_BATCH_T<T>                  GdiTebBatch                     ;
    CLIENT_ID_T<T>                      RealClientId                    ;
    T                                   GdiCachedProcessHandle          ;
    DWORD                               GdiClientPID                    ;
    DWORD                               GdiClientTID                    ;
    T                                   GdiThreadLocalInfo              ;
    T                                   Win32ClientInfo[62]             ;
    T                                   glDispatchTable[233]            ;
    T                                   glReserved1[29]                 ;
    T                                   glReserved2                     ;
    T                                   glSectionInfo                   ;
    T                                   glSection                       ;
    T                                   glTable                         ;
    T                                   glCurrentRC                     ;
    T                                   glContext                       ;
    union{
        DWORD                           LastStatusValue                 ;
        T LastStatusValueDummy;
    };
    UNICODE_STRING_T<T>                 StaticUnicodeString             ;
    WCHAR                               StaticUnicodeBuffer[260]        ;
    union{
        WCHAR                           StaticUnicodeBufferLast         ; //StaticUnicodeBuffer[261]
        T StaticUnicodeBufferDummy;
    };
    T                                   DeallocationStack               ;
    T                                   TlsSlots[64]                    ;
    LIST_ENTRY_T<T>                     TlsLinks                        ;
    T                                   Vdm                             ;
    T                                   ReservedForNtRpc                ;
    T                                   DbgSsReserved[2]                ;
    union{
        DWORD                           HardErrorMode                   ;
        T HardErrorModeDummy;
    };
    T                                   Instrumentation[16]             ;
    T                                   WinSockData                     ;
    DWORD                               GdiBatchCount                   ;
    BYTE                                InDbgPrint                      ;
    BYTE                                FreeStackOnTermination          ;
    BYTE                                HasFiberData                    ;
    BYTE                                IdealProcessor                  ;
    union{
        DWORD                           Spare3                          ;
        T Spare3Dummy;
    };
    T                                   ReservedForPerf                 ;
    T                                   ReservedForOle                  ;
    union{
        DWORD                           WaitingOnLoaderLock             ;
        T WaitingOnLoaderLockDummy;
    };
    Wx86ThreadState_T<T>                Wx86Thread                      ;
    T                                   TlsExpansionSlots               ;
};


template<class T,int TibSize,int Spare1Size>
struct _TEB_32_T : public _TEB_BASE_T<T,TibSize,Spare1Size> {
    DWORD                               ImpersonationLocale             ;
    DWORD                               IsImpersonating                 ;
    T                                   NlsCache                        ;
    T                                   pShimData                       ;
    union{
        DWORD                           HeapVirtualAffinity             ;
        T HeapVirtualAffinityDummy;
    };
    T                                   CurrentTransactionHandle        ;
    T                                   ActiveFrame                     ;//_TEB_ACTIVE_FRAME
    T                                   FlsData                         ;
};


template<class T,int TibSize,int Spare1Size>
struct _TEB_64_T : public _TEB_BASE_T<T,TibSize,Spare1Size> {
    DWORD64                             DeallocationBStore              ;
    DWORD64                             BStoreLimit                     ;
    DWORD                               ImpersonationLocale             ;
    DWORD                               IsImpersonating                 ;
    T                                   NlsCache                        ;
    T                                   pShimData                       ;
    union{
        DWORD                           HeapVirtualAffinity             ;
        T HeapVirtualAffinityDummy;
    };
    T                                   CurrentTransactionHandle        ;
    T                                   ActiveFrame                     ;//_TEB_ACTIVE_FRAME
    T                                   FlsData                         ;
};


typedef _TEB_32_T<DWORD, 0x1c, 24> jkTEB32; // 4024 sizeof
typedef _TEB_64_T<DWORD64, 0x38, 8> jkTEB64; //6096 sizeof


#pragma pack(pop)
#endif //__PEB_TEB_H

v2x222
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
PEB TEB结构体使用
左手
08-02 4778
PEB TEB结构体属于windows平台进程的一个重要数据结构，使用windbg查看结构体信息及相关结构体成员信息的利用
x64 PEB简介 && 有关PEB的一些函数
XboxMicro
02-18 6705
尽管操作PEB BLOCK现在已经没什么价值了，但是PEB BLOCK作为内核的一个重要结构，这里还是提一下： x64 EPROCESS结构 +0x000 Pcb : _KPROCESS +0x160 ProcessLock : _EX_PUSH_LOCK +0x168 CreateTime : _LARGE_INTEGER
PEB结构块解析
热门推荐
liutianheng654的博客
03-22 1万+
peb结构块解析： 项目需要获取程序运行的一些状态，目前只能获取寄存器信息，故采用fs寄存器获取peb信息，本文主要探索peb中可以获得的进程信息。 windbg信息如下：win xp 下，和win7不一样，下面为xp环境dt nt!_peb +0x000 InheritedAddressSpace : UChar +0x001 ReadImageFileExecOptions :
Process Environment Block（PEB）
寻梦&之璐
01-25 5284
简介 PEB（Process Environment Block，进程环境块）是存放进程信息的结构体，尺寸非常大，其大部分内容都已被文档化 PEB访问方法 TEB.ProcessEnvironmentBlock成员就是PEB 结构体的地址。TEB结构体位于FS段选择符所指的段内存的起始地址处，且ProcessEnvironmentBlock成员位于距TEB结构体Offest 30的位置。 即如下式子成立： FS：[30]=TEB.ProcessEnvironmentBlock=address of PEB
64位系统应用层获取peb
Tommy(凌飞)的专栏
12-06 6233
  最近在搞64位系统移植。今个把在获取peb的问题描述一下。在32位系统下，我们都知道可以简单的通过内联汇编得到fs：30位置的就是peb的地址，也可使用NtQueryInformationProcess得到。其实在64位系统上也可以使用上面的方式简单的获取到，但必须你的应用程序是64位的。   我们现在要将的就是不改变我们现有的32位应用程序来正确的获取到peb的地址。大家不妨试试，直接将
易语言获取“TEB/PEB”结构体成员值数据
06-06
本文将深入探讨如何使用易语言获取TEB和PEB结构体的成员值数据。 TEB（Thread Environment Block）是每个Windows线程特有的数据结构，包含了线程的状态、安全属性、异常处理信息等。它还通过一个指针连接到PEB...
eprocess.zip_EPROCESS_eprocess结构体
09-24
在Windows操作系统中，EPROCESS结构体是内核级的数据结构，它代表了系统中的一个进程。这个结构体包含了关于进程的各种信息，如进程ID、内存分配、权限、句柄表等。当我们谈论“wrk中当前进程的EPROCESS结构体”时，...
Win 7下定位kernel32.dll基址及shellcode编写1
08-03
通常，可以利用PEB（Process Environment Block）结构来查找kernel32.dll的基地址。PEB是一个由系统分配的结构，包含了关于进程的各种信息。在x86架构中，FS段寄存器通常被用来指向当前线程的TEB（Thread ...
利用C++ R3层断链实现模块隐藏功能
08-25
这通常涉及到对PEB结构体及其内部的PEB_LDR_DATA结构体的修改。 结构体成员详解： 1. TEB（Thread Environment Block）结构体： - TEB位于fs:[0]处，包含了线程相关的各种信息，如NtTib（线程信息块），ClientId...
观察进程线程的数据结构
11-28
- **进程 Peb 结构地址**: 指向 Peb 结构体，包含了进程初始化时的上下文信息。 - **父进程 Cid 号**: 进程的父进程标识符（PID）。 - **进程映像名**: 进程的可执行文件名。 #### 五、查看线程的相关信息 ...
PE文件头详解
03-17
这个对于保护分析 PE文件很重要。 里面有各个选项的分析介绍。
动态添加/编辑远程过程的环境变量
04-11
6. **结构体与指针**：处理环境变量可能需要使用到`PEB`（Process Environment Block）结构体和指针操作。 7. **进程间通信**：了解不同类型的IPC（如管道、共享内存、消息队列等），虽然在动态添加/编辑环境变量时...
Windows内核驱动EPROCESS遍历进程模块
12-14
EPROCESS结构体在Windows内核中代表一个进程，而模块则是进程执行时加载的动态链接库（DLL）或其他可执行文件。 EPROCESS结构体是Windows内核中的核心数据结构之一，它包含了关于进程的各种信息，如进程ID、安全上...
WIN下 修改，伪装进程路径。支持XP,WIN7 WIN764
01-07
3. **Peb结构体**：在Windows中，每个进程都有一个PEB（Process Environment Block）结构体，它包含了进程的相关信息，包括加载的模块列表。通过直接修改PEB中的信息，可以改变进程的路径。但这需要权限较高，并且...
eprocess图.pdf
10-24
这里提到的_Ptr32_PEB表示这是一个32位系统中的指针类型，指向PEB结构体。 ### _LIST_ENTRY 文档中多次提到了_LIST_ENTRY结构体，这是一种非常基础的双向链表节点结构，通常用于实现各种链表数据结构。 总结起来...
32位 64位 获得进程peb的方法
aijuzhou1959的博客
02-14 507
基于上一篇文章，大概了解了peb的获取方法，但是那个方法只能获得当前进程的PEB，不能获得其他的进程的PEB。根据那个思想，获得其他进程PEB则需要注入，得到进程信息，然后进程间通信，将信息返回来，经过考虑，这个方法太复杂。 下面介绍的方法是 用了一个未公开的函数NtQueryInformationProcess，获得进程信息，然后去读对方进程ReadProcessMemory。 结...
利用PEB结构体实现反调试
hanseys的专栏
07-21 1327
PEB(Process Environment Block,进程环境块)是存放进程信息的结构体，尺寸非常大，我们首先看看PEB结构体： typedef struct _PEB {               // Size: 0x1D8     000h    UCHAR           InheritedAddressSpace;     001h    UCHAR
利用 PEB_LDR_DATA 结构枚举进程模块信息
最新发布
溡漪幽博客
12-29 1528
我们常常通过很多方法来获取进程的模块信息，例如EnumProcessModules 函数、CreateToolhelp32Snapshot 函数、WTSEnumerateProcesses 函数、ZwQuerySystemInformation 函数等。但是调用这些接口进行模块枚举的原理是什么我们并不知道。通过学习 PEB 中 PEB_LDR_DATA 结构的知识，我们可以对进程模块信息的查询以及相关存储数据结构有进一步的了解。
Windows x64位通过PEB获得Kernel32基地址
weixin_30294295的博客
02-08 1053
在64位系统下 gs:[0x30] 指向TEB gs:[0x60] 指向PEB kd> dt _TEB nt!_TEB +0x000 NtTib : _NT_TIB +0x000 ExceptionList : Ptr64 _EXCEPTION_REGISTRATION_RECORD +0x00...
windbg 如何查看PEB32 内存使用情况
05-19
该命令会显示PEB32结构体中的成员变量，其中包括进程的内存使用情况，如下图所示： ![image](https://user-images.githubusercontent.com/58027286/134838241-4c57d2c5-76e0-4f03-9e46-7f4b7d30e4fc.png) 其中，`...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值