《Windows 深入解析---Processes》.pdf

Windows 深入解析Processes,Threads,Jobs 学习各种高级外挂制作技术，马上去百度搜索 魔鬼作坊，点击第一个站进入， 快速成为做挂达人。 这是Windows Internals第6章的内容。发现描述的还算详细。读了总比不读强。于是纪录 之，老鸟飘过 一 进程相关 EPROCESS 算是进程的代表，它还保留着与之相关的其他信息。进程是死的，其中的线程 才是活的。进程就好比一个容器，装着很多活跃的线程而已[没有线程的进程注定要死亡， 因为它没有活力]。对了，还有PEB、TEB[这2个结构存在于用户进程空间中，其他的都在 系统的高2GB地址范围里] 。见图： ① 明确KPCR、KPRCB、ETHREAD、KTHREAD、EPROCESS、KPROCESS、TEB、 PEB KPCR KPCR KKPPCCRR（Kernels Processor Control Region,内核进程控制区域）是一个不会随WINDOW 0x120 KPRCB 0x120 KPRCB S 版本变动而改变的固定结构体，在它的末尾[偏移00xx112200]指向KKPPRRCCBB结构。 nt!_KPCR +0x000 NtTib : _NT_TIB +0x01c SelfPcr : Ptr32 _KPCR +0x020 Prcb : Ptr32 _KPRCB +0x024 Irql : UChar +0x028 IRR : Uint4B +0x02c IrrActive : Uint4B +0x030 IDR : Uint4B +0x034 KdVersionBlock : Ptr32 Void +0x038 IDT : Ptr32 _KIDTENTRY +0x03c GDT : Ptr32 _KGDTENTRY +0x040 TSS : Ptr32 _KTSS ...// 省略 +0x120 PrcbData : _KPRCB KPRCB KPRCB KKPPRRCCBB同样是一个不会随WINDOWS 版本变动而改变的固定结构体。它包含有指向当前 KTHREAD 0x004 ETHREAD KTHREAD 0x004 ETHREAD KKTTHHRREEAADD的指针，偏移值00xx000044。其实也就是知道了当前的EETTHHRREEAADD基地址。[因为E K K THREAD 的第一项便是KTHREAD，ETHREAD 在后面讨论，现在讨论进程相关] [通过 KK eGetCurrentPrcb() eGetCurrentPrcb() eeGGeettCCuurrrreennttPPrrccbb(()) 函数即可得到PKPRCB，具体参见WRK] 展开KTHREAD，其中的_KAPC_STATE 结构中包含当前KPROCESS 的地址 nt!_KTHREAD +0x000 Header : _DISPATCHER_HEADER ... +0x034 ApcState : _KAPC_STATE +0x034 ApcState : struct _KAPC_STATE, 5 elements, 0x18 bytes +0x000 ApcList