Windows内核逆向之PEB结构.pdfVIP

PEB结构(进程环境块结构)其中文名是进程环境块信息，进程环境块包含了进程运行的详细参数信息。

每一个进程在运行后都会存在一个特有的PEB结构，通过附加进程并遍历这段结构即可获取大量有用信息。

在应用层下，获取PEB址只需取fs:[0x30]即可，TEB线程环境块则为fs:[0x18]。若需在内核层获

取应用层进程的PEB信息，需调用特定内核函数。以下案例将演示如何在内核层提取应用层进程的PEB结

构。

首先在编写代码前需预定义PEB进程环境块结构体，用于内存指针解析。新建peb.h文件并保存如下代

码（微软定义的32位与64位结构规范，无需额外修改）。

#pragmaonce#includentifs.htypedefstruct_CURDIR//2个元素，0x18字节(sizeof){/

0x000/struct_UNICODE_STRINGDosPath;//3个元素，0x10字节(sizeof)/0x010/VOID

Handle;}CURDIR,PCURDIR;typedefstruct_RTL_DRIVE_LETTER_CURDIR//4个元素，

0x18字节(sizeof){/0x000/UINT16