171124 逆向-线程环境块（TEB）

最新推荐文章于 2023-04-16 23:08:50 发布

奈沙夜影

最新推荐文章于 2023-04-16 23:08:50 发布

阅读量2.1k

点赞数

分类专栏：杂七杂八

本文链接：https://blog.csdn.net/whklhhhh/article/details/78660474

版权

本文介绍了线程环境块（TEB），它存储进程中线程的相关信息。内容包括TEB的结构，如ProcessEnvironmentBlock指向PEB，NT_TIB结构体及其重要成员。还探讨了在用户模式下访问TEB的方法，如通过Ntdll.NtCurrentTeb()函数和利用FS段寄存器。明日计划将涉及PEB的深入研究。

摘要由CSDN通过智能技术生成

1625-5 王子昂总结《2017年11月24日》【连续第420天总结】
A. TEB（线程环境块）
B.

介绍

该结构体中包含进程中运行线程的各种信息，每个线程都对应一个TEB结构体。
不同OS中TEB结构的形态略微不同。

定义

结构体中有非常多的成员，其中用户模式调试中起着重要作用的成员有两个：

+0 NtTib : _NT_TIB
...
+0X30 ProcessEnvironmentBlock : Ptr32_PEB

偏移0x30处的ProcessEnvironmentBlock是指向PEB（进程环境块）结构体的指针
偏移0处的_NT_TIB结构体内容如下

typedef struct _NT_TIB {
　struct _EXCEPTION_REGISTRATION_RECORD *ExceptionList;
　PVOID StackBase;
　PVOID StackLimit;
　PVOID SubSystemTib;
　union {
　　PVOID FiberData;
　　DWORD Version;
　};
　PVOID ArbitraryUserPointe