内核层进程环境块信息方法.pdfVIP

PEB结构

(进程环境块结构)的中文名称是进程环境块信息。进程环境块包含了进程运行的详细参数信息。每

个进程在运行后都会有一个特有的PEB结构。通过附加进程并遍历该结构，可以获取很多有用的信息。

在应用层，若要获取PEB的基本地址，只需取

fs:[0x30]即可。TEB（线程环境块）则是

fs:[0x18]。

若要在内核层获取应用层进程的PEB信息，则需调用特定的内核函数。以下示例将演示如何在内核层获

取应用层进程的PEB结构。

在编写代码之前，首先需要定义

PEB进程环境块结构体，以便于解析内存指针。新建

peb.h文件，并保

存如下代码。这是微软为32位和64位系统定义的结构，仅作参考，无需特别花费时间理解。

#pragma

once

#include

ntifs.h

typedef

struct_CURDIR//

2个元素，0x18字节（sizeof）

{

/*0x000*/struct_UNICODE_STRINGDosPath;//

3个元素，0x10字节

(sizeof)

/*0x010*/空*处理;

}当前目录,*PCURDIR;

typedef

struc