1.EPROCESS结构体 EPROCESS块来表示。EPROCESS块中不仅包含了进程相关了很多信息，还有很多指向其他相关结构数据结构的指针。例如每一个进程里面都至少有一个ETHREAD块表示的线程。进程的名字，和在用户空间的PEB（进程环境）块等等。EPROCESS中除了PEB成员块在是用户空间 ...
分类：
系统相关 时间：
2016-08-11 17:47:24
阅读次数：
302
枚举进程模块的方法有很多种，常见的有枚举PEB和内存搜索法，今天，先来看看实现起来最简单的枚举PEB实现获取进程模块列表。 首先，惯例是各种繁琐的结构体定义。需要包含 ntifs.h 和 WinDef.h, 此处不再列出，各位看官根据情况自行添加。 [cpp] view plain copy pri ...
分类：
系统相关 时间：
2016-08-11 17:35:57
阅读次数：
461
1.fs寄存器指向TEB结构 2.在TEB+0x30地方指向PEB结构 3.在PEB+0x0C地方指向PEB_LDR_DATA结构 4.在PEB_LDR_DATA+0x1C地方就是一些动态连接库地址了，如第一个指向ntdll.dll，第二个就是kernel32.dll的地址。 其结构示意图如图 利用 ...
分类：
系统相关 时间：
2016-08-08 12:50:15
阅读次数：
1189
稍稍总结一下在Crack或Rervese中比较常见的一些反调试方法，实现起来也比较简单，之后有写的Demo源码参考，没有太大的难度。 ①最简单也是最基础的，Windows提供的API接口：IsDebuggerPresent()，这API实际上就是访问PEB的BeingDebugged标志来判断是否处
书中作者使用 dt _PEB xxxxxx 命令来查看当前进程的PEB结构。实际操作后PEB结构显示的成员值：作为进程链表的LDR结构居然没有值，这显然是不正常的，地址也没有输错，问题到底出在哪里呢？书中提到PEB位于用户态空间，可能有多个进程共享同一个PEB，所以在查看之前须使用 .process...
分类：
其他好文 时间：
2016-01-14 08:32:16
阅读次数：
138
一、概念 TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。一个进程的所有TEB都以堆栈的方式，存放在从0x7FFDE000开始的线性内存中，每....
分类：
其他好文 时间：
2016-01-07 16:40:12
阅读次数：
180
转自：http://www.0xaa55.com/thread-1385-1-1.html之前做过ldr遍历的操作，发现第一项竟然是空，也就是大部分元素都是0，下面来揭示一下原理：经过研究，其实Ldr链表得第一项为头结点，为PEB_LDR_DATA结构，而其他所有项均为LDR_DATA_TABLE_...
分类：
其他好文 时间：
2015-06-14 10:55:50
阅读次数：
153
首先介绍PEB和TEB概念：
PEB（Process Environment Block，进程环境块）存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。
TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。
写一个使用Is...
在得到进程EProcess之后，对于进程完整路径的获得一般有两种方法，一种是访问的进程的PEB结构，在PEB结构中保存有进程的完整路径，另一种方法就是采用访问_FILE_OBJECT的方法。 访问PEB的方法便存在线程靠挂的问题，因为运行于Ring0层的线程是无法去访问用户地址空间的，需要将...
分类：
系统相关 时间：
2015-04-03 01:27:43
阅读次数：
190
