大家好，又见面了，我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。
Jetbrains全家桶1年46，售后保障稳定
peb结构块解析：
项目需要获取程序运行的一些状态，目前只能获取寄存器信息，故采用fs寄存器获取peb信息，本文主要探索peb中可以获得的进程信息。
windbg信息如下：win xp 下，和win7不一样，下面为xp环境
0:000> !peb
PEB at 7ffdd000
InheritedAddressSpace: No
ReadImageFileExecOptions: No
BeingDebugged: Yes
ImageBaseAddress: 00400000
Ldr 00251ea0
Ldr.Initialized: Yes
Ldr.InInitializationOrderModuleList: 00251f58 . 00252798
Ldr.InLoadOrderModuleList: 00251ee0 . 00252848
Ldr.InMemoryOrderModuleList: 00251ee8 . 00252850
Base TimeStamp Module
400000 4ffadf89 Jul 09 21:41:29 2012 C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe
7c920000 4802bdc5 Apr 14 10:13:25 2008 C:\WINDOWS\system32\ntdll.dll
7c800000 4802bdc6 Apr 14 10:13:26 2008 C:\WINDOWS\system32\kernel32.dll
770f0000 4802bdbd Apr 14 10:13:17 2008 C:\WINDOWS\system32\oleaut32.dll
77da0000 4802bd89 Apr 14 10:12:25 2008 C:\WINDOWS\system32\ADVAPI32.dll
77e50000 4802bdae Apr 14 10:13:02 2008 C:\WINDOWS\system32\RPCRT4.dll
77fc0000 4802bdc1 Apr 14 10:13:21 2008 C:\WINDOWS\system32\Secur32.dll
77ef0000 4802bd81 Apr 14 10:12:17 2008 C:\WINDOWS\system32\GDI32.dll
77d10000 4802bdbd Apr 14 10:13:17 2008 C:\WINDOWS\system32\USER32.dll
77be0000 4802be3f Apr 14 10:15:27 2008 C:\WINDOWS\system32\msvcrt.dll
76990000 4802bdbc Apr 14 10:13:16 2008 C:\WINDOWS\system32\ole32.dll
77180000 4802bd6c Apr 14 10:11:56 2008 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
77f40000 4802bdbb Apr 14 10:13:15 2008 C:\WINDOWS\system32\SHLWAPI.dll
SubSystemData: 00000000
ProcessHeap: 00150000
ProcessParameters: 00020000
CurrentDirectory: 'C:\Program Files\Debugging Tools for Windows (x86)\'
WindowTitle: 'C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe'
ImageFile: 'C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe'
CommandLine: '"C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe"'
DllPath: 'C:\Documents and Settings\Administrator\桌面;C:\WINDOWS\system32;C:\WINDOWS\system;C:\WINDOWS;.;C:\Program Files\Debugging Tools for Windows (x86)\winext\arcade;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem'
Environment: 00010000
=::=::\ ALLUSERSPROFILE=C:\Documents and Settings\All Users
APPDATA=C:\Documents and Settings\Administrator\Application Data
CLIENTNAME=Console
CommonProgramFiles=C:\Program Files\Common Files
COMPUTERNAME=BITGHOST
ComSpec=C:\WINDOWS\system32\cmd.exe
FP_NO_HOST_CHECK=NO
HOMEDRIVE=C:
HOMEPATH=\Documents and Settings\Administrator
LOGONSERVER=\\BITGHOST
NUMBER_OF_PROCESSORS=1
OS=Windows_NT
Path=C:\Program Files\Debugging Tools for Windows (x86)\winext\arcade;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
PROCESSOR_ARCHITECTURE=x86
PROCESSOR_IDENTIFIER=x86 Family 6 Model 60 Stepping 3, GenuineIntel
PROCESSOR_LEVEL=6
PROCESSOR_REVISION=3c03
ProgramFiles=C:\Program Files
SESSIONNAME=Console
SystemDrive=C:
SystemRoot=C:\WINDOWS
TEMP=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp
TMP=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp
USERDOMAIN=BITGHOST
USERNAME=Administrator
USERPROFILE=C:\Documents and Settings\Administrator
WINDBG_DIR=C:\Program Files\Debugging Tools for Windows (x86)
windir=C:\WINDOWS详细解释如下：
0:000> dt nt!_peb 7ffdd000
ntdll!_PEB
+0x000 InheritedAddressSpace : 0 ''
+0x001 ReadImageFileExecOptions : 0 ''
+0x002 BeingDebugged : 0x1 '' //判断进程是否被调试，true为被调试
+0x003 SpareBool : 0 ''
+0x004 Mutant : 0xffffffff Void
+0x008 ImageBaseAddress : 0x00400000 Void //进程映像基址，就是PE中的IMAGE_OPTIONAL_HEADER->ImageBase对应的值。对于EXE来说，默认的ImageBase为0x400000；对于DLL来说，它是0x10000000，当打开ASLR时应该会变，**待验证**
----------
+0x00c Ldr : 0x00251ea0 _PEB_LDR_DATA
LoaderData域是PEB中一个很重要的成员域，它是一个指向PEB_LDR_DATA结构体的指针。它由PE Loader(加载器)填充，也就说，在这个指针指向的结构中，可以找到很多在PE中包含的信息。另外，我们在做Buffer OverFlow的时候经常会遇到这个数据结构，枚举用户进程加载的模块就和它密切相关。我们扩展出去，详细学习一下这个结构。
0:000> dt _PEB_LDR_DATA 0x00251ea0
ntdll!_PEB_LDR_DATA
+0x000 Length : 0x28 //结构长度
+0x004 Initialized : 0x1 '' //进程是否初始化完成
+0x008 SsHandle : (null)
+0x00c InLoadOrderModuleList : _LIST_ENTRY [ 0x251ee0 - 0x252848 ]
+0x014 InMemoryOrderModuleList : _LIST_ENTRY [ 0x251ee8 - 0x252850 ]
+0x01c InInitializationOrderModuleList : _LIST_ENTRY [ 0x251f58 - 0x252798 ]
//nLoadOrderModuleList、InMemoryOrderModuleList、InInitializationOrderModuleList这三个域都是指向它们各自的双链表中的下一个LDR_MODULE的LIST_ENTRY
+0x024 EntryInProgress : (null)
----------
+0x010 ProcessParameters : 0x00020000 _RTL_USER_PROCESS_PARAMETERS
// ProcessParameters域是指向 RTL_USER_PROCESS_PARAMETERS 的指针，RTL_USER_PROCESS_PARAMETERS 中是一些进程的参数。如下：
0:000> dt _RTL_USER_PROCESS_PARAMETERS 0x00020000
ntdll!_RTL_USER_PROCESS_PARAMETERS
+0x000 MaximumLength : 0x1000 //
+0x004 Length : 0x7e4 //结构大小
+0x008 Flags : 0x2001 //是否由RtlNormalizeProcessParams标准化
+0x00c DebugFlags : 0
+0x010 ConsoleHandle : (null) //该进程的窗口句柄，如果有的话
+0x014 ConsoleFlags : 0
+0x018 StandardInput : (null)
+0x01c StandardOutput : 0x00010001 Void
+0x020 StandardError : (null)
+0x024 CurrentDirectory : _CURDIR
+0x030 DllPath : _UNICODE_STRING "C:\Documents and Settings\Administrator\桌面;C:\WINDOWS\system32;C:\WINDOWS\system;C:\WINDOWS;.;C:\Program Files\Debugging Tools for Windows (x86)\winext\arcade;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem"
+0x038 ImagePathName : _UNICODE_STRING "C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe"
+0x040 CommandLine : _UNICODE_STRING ""C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe""
+0x048 Environment : 0x00010000 Void
+0x04c StartingX : 0
+0x050 StartingY : 0
+0x054 CountX : 0
+0x058 CountY : 0
+0x05c CountCharsX : 0
+0x060 CountCharsY : 0
+0x064 FillAttribute : 0
+0x068 WindowFlags : 0
+0x06c ShowWindowFlags : 0
+0x070 WindowTitle : _UNICODE_STRING "C:\Documents and Settings\Administrator\桌面\csnbes_1.0.0.8.exe"
+0x078 DesktopInfo : _UNICODE_STRING "WinSta0\Default"
+0x080 ShellInfo : _UNICODE_STRING ""
+0x088 RuntimeData : _UNICODE_STRING ""
+0x090 CurrentDirectores : [32] _RTL_DRIVE_LETTER_CURDIR
----------
+0x014 SubSystemData : (null)
+0x018 ProcessHeap : 0x00150000 Void //域指向的是进程堆(默认的那个)的首地址，每个进程在新建的时都会由系统自动创建一个默认堆以供使用。这也就是为什么我们在程序中可以直接使用malloc来动态申请堆内存的时候不需要指定使用的是哪个堆。可用于反调试，进程堆标志，系统创建进程时会将Flags置为0x02（HEAP_GROWABLE），将ForceFlags置为0。但是进程被调试时，这两个标志通常被设置为0x50000062h和0x40000060h。
如下：0:000> dt _HEAP 0x00150000
ntdll!_HEAP
+0x000 Entry : _HEAP_ENTRY
+0x008 Signature : 0xeeffeeff //HEAP结构的签名
+0x00c Flags : 0x50000062
+0x010 ForceFlags : 0x40000060
+0x014 VirtualMemoryThreshold : 0xfe00 //最大堆块大小
+0x018 SegmentReserve : 0x100000 //段的保留空间大小
+0x01c SegmentCommit : 0x2000 //每次提交内存的大小
+0x020 DeCommitFreeBlockThreshold : 0x200 //解除提交的单块阈值
+0x024 DeCommitTotalFreeThreshold : 0x2000 //解除提交的总空闲块阈值
+0x028 TotalFreeSize : 0x98 //空闲块的总大小
+0x02c MaximumAllocationSize : 0x7ffdefff //可分配的最大值
+0x030 ProcessHeapsListIndex : 1 //本堆在进程堆列表中的索引
+0x032 HeaderValidateLength : 0x608 //头结构的验证长度
+0x034 HeaderValidateCopy : (null)
+0x038 NextAvailableTagIndex : 0 //下一个可用的堆块标记索引
+0x03a MaximumTagIndex : 0 //最大的堆块标记索引
+0x03c TagEntries : (null) //指向用于标记堆块的标记结构
+0x040 UCRSegments : (null) //UnCommitedRange Segments
+0x044 UnusedUnCommittedRanges : 0x00150598 _HEAP_UNCOMMMTTED_RANGE
+0x048 AlignRound : 0x17
+0x04c AlignMask : 0xfffffff8 //用于地址对齐的掩码
+0x050 VirtualAllocdBlocks : _LIST_ENTRY [ 0x150050 - 0x150050 ]
+0x058 Segments : [64] 0x00150640 _HEAP_SEGMENT
+0x158 u : __unnamed
+0x168 u2 : __unnamed
+0x16a AllocatorBackTraceIndex : 0
+0x16c NonDedicatedListLength : 1
+0x170 LargeBlocksIndex : (null)
+0x174 PseudoTagEntries : (null)
+0x178 FreeLists : [128] _LIST_ENTRY [ 0x152b48 - 0x152b48 ]
+0x578 LockVariable : 0x00150608 _HEAP_LOCK //用于串行化控制的同步对象
+0x57c CommitRoutine : (null)
+0x580 FrontEndHeap : 0x00150688 Void //用于快速释放堆块的"前端堆"
+0x584 FrontHeapLockCount : 0 //"前端堆"的锁定计数
+0x586 FrontEndHeapType : 0x1 '' //"前端堆"的类型
+0x587 LastSegmentIndex : 0 ''
----------
+0x01c FastPebLock : 0x7c99d600 _RTL_CRITICAL_SECTION //FastPebLock域存放的是PEBLOCKROUTINE这个例程函数需要用到的参数。
+0x020 FastPebLockRoutine : 0x7c921000 Void //PEB加锁/解锁回调例程
+0x024 FastPebUnlockRoutine : 0x7c9210e0 Void
+0x028 EnvironmentUpdateCount : 1 //进程的环境变量更改的次数
+0x02c KernelCallbackTable : (null) //KernelCallbackTable域用于从内核"回调"用户空间的函数。
+0x030 SystemReserved : [1] 0
+0x034 AtlThunkSListPtr32 : 0
+0x038 FreeList : (null)
+0x03c TlsExpansionCounter : 0
+0x040 TlsBitmap : 0x7c99d5c0 Void //TlsBitmap域代表TLS位图
+0x044 TlsBitmapBits : [2] 1
+0x04c ReadOnlySharedMemoryBase : 0x7f6f0000 Void
+0x050 ReadOnlySharedMemoryHeap : 0x7f6f0000 Void
+0x054 ReadOnlyStaticServerData : 0x7f6f0688 -> (null)
+0x058 AnsiCodePageData : 0x7ffa0000 Void
+0x05c OemCodePageData : 0x7ffa0000 Void
+0x060 UnicodeCaseTableData : 0x7ffd1000 Void
+0x064 NumberOfProcessors : 1
+0x068 NtGlobalFlag : 0x70 //NtGlobalFlag 也是类似于BeingDebugged的一个标志，在Peb中取出。如果是调试状态下,NtGlobalFlag的值会是0x70，正常情况下不是。之前是利用fs寄存器获得的Peb基地址，这里使用Native API 的方法。
+0x070 CriticalSectionTimeout : _LARGE_INTEGER 0xffffe86d`079b8000
+0x078 HeapSegmentReserve : 0x100000 //堆的默认保留大小
+0x07c HeapSegmentCommit : 0x2000 //堆的默认提交大小
+0x080 HeapDeCommitTotalFreeThreshold : 0x10000 //解除提交的总空闲块阈
+0x084 HeapDeCommitFreeBlockThreshold : 0x1000 //解除提交的单块阈值
+0x088 NumberOfHeaps : 3 //进程堆的数量
+0x08c MaximumNumberOfHeaps : 0x10 //ProcessHeaps数组目前的大小
+0x090 ProcessHeaps : 0x7c99cfc0 -> 0x00150000 Void //一个数组，记录了每一个堆的地址
+0x094 GdiSharedHandleTable : (null)
+0x098 ProcessStarterHelper : (null)
+0x09c GdiDCAttributeList : 0
+0x0a0 LoaderLock : 0x7c99b178 Void
+0x0a4 OSMajorVersion : 5
+0x0a8 OSMinorVersion : 1
+0x0ac OSBuildNumber : 0xa28
+0x0ae OSCSDVersion : 0x300
+0x0b0 OSPlatformId : 2
+0x0b4 ImageSubsystem : 2
+0x0b8 ImageSubsystemMajorVersion : 5
+0x0bc ImageSubsystemMinorVersion : 0
+0x0c0 ImageProcessAffinityMask : 0
+0x0c4 GdiHandleBuffer : [34] 0
+0x14c PostProcessInitRoutine : (null)
+0x150 TlsExpansionBitmap : 0x7c99d5b8 Void
+0x154 TlsExpansionBitmapBits : [32] 0
+0x1d4 SessionId : 0
+0x1d8 AppCompatFlags : _ULARGE_INTEGER 0x0
+0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER 0x0
+0x1e8 pShimData : (null)
+0x1ec AppCompatInfo : (null)
+0x1f0 CSDVersion : _UNICODE_STRING "Service Pack 3"
+0x1f8 ActivationContextData : 0x00140000 Void
+0x1fc ProcessAssemblyStorageMap : 0x001529a8 Void
+0x200 SystemDefaultActivationContextData : 0x00130000 Void
+0x204 SystemAssemblyStorageMap : (null)
+0x208 MinimumStackCommit : 0
暂时先写这么多吧，下午再写。。有什么更详细的留言告诉我呀，谢啦。。
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
发布者：全栈程序员-用户IM，转载请注明出处：https://javaforall.cn/207122.html原文链接：https://javaforall.cn
【正版授权，激活自己账号】： Jetbrains全家桶Ide使用，1年售后保障，每天仅需1毛
【官方授权 正版激活】： 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...
