PEB

通过PEB的Ldr枚举进程内所有已加载的模块

一、几个重要的数据结构，可以通过windbg的dt命令查看其详细信息_PEB、_PEB_LDR_DATA、_LDR_DATA_TABLE_ENTRY二、技术原理1、通过fs:[30h]获取当前进程的_PEB
cqzj70·2020-07-07 05:25

PEB结构----枚举用户模块列表(图)

本文在主主要以上述两篇文章为基础，对PEB的结构进行了详细的分析，重点是在揭示PEB结构中的list—entry的应用，并且以C语言Code进行实证。
cosmoslife·2020-07-07 05:06

PEB及PEB_LDR_DATA结构

PEB结构如下：（比MSDN上详细多了http://msdn.microsoft.com/en-us/library/windows/desktop/aa813706(v=vs.85).aspx）这个进程环境块就不罗嗦了
blsm0930·2020-07-07 04:46

图解windbg查看Win7结构体

下面用dt命令查看Win7结构体；查看peb结构；查看eprocess结构；查看特定地址的eprocess结构内容;*是通配符；显示所有peb打头的结构体名称；枚举ntkrnlmp中带"Object"的结构体名称
bcbobo21cn·2020-07-07 04:15

几种得到kernel32.dll地址的方法（基本就是抄的）

1）利用PEB结构来查找原理：FS段寄存器作为选择子指向当前的TEB结构，在TEB偏移0x30处是PEB指针。
ayken·2020-07-07 03:06

32位 64位 获得进程peb的方法

基于上一篇文章，大概了解了peb的获取方法，但是那个方法只能获得当前进程的PEB，不能获得其他的进程的PEB。
aijuzhou1959·2020-07-07 02:43

进程peb结构、获得peb的方法

PEB：进程环境块TEB.ProcessEnvironmentBlock成员就是PEB的结构体地址TEB结构体位于FS段选择符所指的段内存的起始地址处，且ProcessEnvironmentBlock成员位于距
aijuzhou1959·2020-07-07 02:42

用户层获取TEB PEB结构地址 遍历进程模块.doc

1.fs寄存器指向TEB结构2.在TEB+0x30地方指向PEB结构3.在PEB+0x0C地方指向PEB_LDR_DATA结构4.在PEB_LDR_DATA+0x1C地方就是一些动态连接库地址了，如第一个指向
aijia1857·2020-07-07 02:10

从PEB遍历进程所有模块

printf("PEBAddr:%x/n",pbytePEB);BYTE*pLdrData=pbytePEB+0x0C;pLdrData=(BYTE*)*(DWORD*)pLdrData;printf("PEB_L
YL_WH·2020-07-07 01:11

C++ 修改指定进程 PEB 中路径和命令行信息实现进程伪装

背景所谓的进程伪装，指的修改任意一个指定进程的信息，是它的信息在系统中的显示是另一个进程的信息，这样看来，指定的进程就像是被伪装的进程一样，因为进程信息相同，但实际上，它还是原来的进程，做着原来的进程操作。函数介绍NtQueryInformationProcessNTSTATUSWINAPINtQueryInformationProcess(_In_HANDLEProcessHandle,//要获
(-: LYSM :-)·2020-07-07 00:16

PEB结构的获取

32位获取KERNEL32地址汇编代码PEB结构----枚举用户模块列表。
SauceJ·2020-07-07 00:36

【原创】LDR链调试手记

其中，获得各个模块基址中，通过PEB结构来获取的方法尤为的精简和通用。这里是我之前调试和学习时碰到的一些问题的总结，于是就有了这一篇手记。
OSReact·2020-07-06 23:41

通过读写PEB.Ldr实现模块枚举和模块隐藏（脱链）

·获取PEB_LDR_DATA关于获取Ldr的方法，网上有大量的博客作了介绍，但可能因为这些博客写的比较早，所以其中一些类似于“fs[30]指向PEB，PEB+0x0C即为Ldr指针”的观点虽然在当时非常适用
DontBeProud·2020-07-06 21:30

通过 PEB 隐藏导入表

这有可能是通过TEB、PEB动态获取，达到隐藏的目的。主要原理是通过FS:[0x30]所指向的PEB结构体入手，得到ntdll.dll或kernel32.dll的基址。
Interstellar____·2020-07-06 21:55

PEB及PEB_LDR_DATA结构

PEB结构如下：（比MSDN上详细多了http://msdn.microsoft.com/en-us/library/windows/desktop/aa813706(v=vs.85).aspx）这个进程环境块就不罗嗦了
BetaBin·2020-07-06 20:42

内核遍历PEB下的LDR模块表

系统：XPSP2可以通过EPROCESS--->PEB--->_PRB_LDR_DATAkd>dt_eprocessntdll!
z6470975·2020-07-06 20:26

获得目标进程PEB，并获得进程各种信息

本程序可完美获得x64和x86程序PEB，及环境变量等信息。
weixin_33762130·2020-07-06 19:07

PEB-------------模块链表Ldr

一、xp下peb结构kd>dt_pebntdll!
weixin_30316097·2020-07-06 18:49

TEB和PEB的知识复习

PEB(ProcessEnvironmentBlock，进程环境块)：存放进程信息，准确的PEB地址应该从系统的EXPROCESS结构的0x1b0偏移出获得，但这个结构位于系统地址空间，访问需要ring0
jay52016·2020-07-06 18:24

遍历PEB结构

在进行脱壳练习的时候，遇到了这方面的难题，遂，研究了一下：大概的遍历过程如下：首先，我们要知道，32位的程序和64位程序的区别：那就是32位的程序TEB以及PEB都在fs段里边，而64位程序的TEB和PEB
sxr__nc·2020-07-06 18:30

通过IsDebuggerPesent讲解windows PEB进程环境块结构

首先介绍PEB和TEB概念：PEB（ProcessEnvironmentBlock，进程环境块）存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。
赫__________________·2020-07-06 17:05

peb、!teb)

PEB（ProcessEnvironmentBlock，进程环境块）存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。
iteye_19606·2020-07-06 16:00

PEB结构

PEB进程环境快，下面是其一些结构//==================================================================================
寒江雪语·2020-07-06 16:53

PEB结构----枚举用户模块列表

art_id=6315&cat_id=39本文在主主要以上述两篇文章为基础，对PEB的结构进行了详细的分析，重点是在揭示PEB结构中的list—entry的应用，并且以C语言Code进行实证。
iiprogram·2020-07-06 16:53

PEB结构块解析

peb结构块解析：项目需要获取程序运行的一些状态，目前只能获取寄存器信息，故采用fs寄存器获取peb信息，本文主要探索peb中可以获得的进程信息。
liutianheng654·2020-07-06 15:20

汇编语言编写shellcode实现弹窗计算器

stdcall;代码区域.codemain:pushebpmovebp,espsubesp,20h;开辟栈空间;获取Kernel32基址assumefs:nothingmoveax,[fs:30h];peb
yeanhoo·2020-06-29 02:00

一个简单压缩壳的实现

简单说下功能：1、支持反调试，检查PEB可以过x64dbg，NtQueryInformationProcess可以
weixin_33849942·2020-06-28 06:37

PE感染-添加节区

感染指定目录的PE文件charItIs[MAX_PATH]="D:\\桌面\\感染PE\\感染目录";//添加了一个新节区//然后shellcode是添加一个名为a，密码为a的administrator//然后PEB
whitesilt·2020-06-27 03:25

搜索PEB结构获取Kernel32.dll基址

TEB偏移0x30处，即FS:[0x30]地址处保存着一个指针，指向PEB，PEB结构的偏移0xC处保存着另外一个指针ldr，该指针执行PEB_LDR_DATA该结构的后三个成员是指向LDR_MODULE
strongxu·2020-06-26 15:06

X64-R3层通过PEB获取进程命令行参数

关于命令行参数进程创建进程时,会传一个命令行给它,一般其第一个内容是其可执行文件的名称,因为在调用CreateProcess时,若applicationname参数为空(大多数情况都为空),则CreateProcess将会去解析命令行参数以此获得进程映像文件的完整路径.一般应用双引号"PathName"将完整路径包括起来,否则应用空格与其余命令行参数隔开,具体解析方式这里不详述获取命令行参数byP
EVOL4·2020-06-25 16:48

傀儡进程原理及调试

一个进程，并挂起，即向dwCreationFlags参数传入CREATE_SUSPENDED；(2)GetThreadContext获取挂起进程CONTEXT，其中，EAX为进程入口点地址，EBX指向进程PEB
poppy飞翔·2020-06-25 01:33

windows核心编程-如何获取进程命令行信息

如何获取其他进程命令行信息每一个进程都有一个PEB数据块（PEB:ProcessEnvironmentBlock），这个进程环境块信息(如下结构体)，每个PEB中有_RTL_USER_PROCESS_PARAMETERS
poppy飞翔·2020-06-25 01:02

xp得到KERNEL32.DLL基址的方法

//xp得到KERNEL32.DLL基址的方法_asm{//得到KERNEL32.DLL基址的方法//assumefs:nothing//;打开FS寄存器moveax,fs:[30h]//;得到PEB结构地址
125096·2020-06-24 22:15

逆向总结（3）-- 无模块遍历API（找到Kernel32.dll）

很多的时候，我们需要使用到无模块获取到Kernel32.dll的基址，这时候，我们就需要借助FS还完成：1）通过FS得到TEB的地址2）TEB偏移0x30处指向的是PEB指针3）PEB偏移0x0C处指向
布衣僧·2020-06-24 18:53

对称加密算法原理与常用实现

目录定义常用对称加密算法DES3DESAESPEB常用对称加密算法的java实现DES实现3DES实现AES实现PEB实现定义原文通过加密秘钥生成密文，密文通过解密秘钥得到原文。
zhangSir134·2020-06-23 20:08

利用FS寄存器获取KERNEL32.DLL基址算法的证明

线程堆栈底部00CSubSystemTib010FiberData014ArbitraryUserPointer018FS段寄存器在内存中的镜像地址020进程PID024线程ID02C指向线程局部存储指针030PEB
int2e·2020-06-23 18:49

AWS 更换 EC2 密钥

houtai.pemssh-rsaAAAAB3NzaC1yc2EAAAADAQABAAABAQCMAS8mviirg23XvhyGzydp0VlP/fyfuhsHKMECZydc5ewytvTq0mqYTfjKBS++PeB
葛健·2020-06-23 10:05

完成端口IOCP,重叠,消息选择,消息异步等等....

谢谢免杀之神给的PEB过防火墙的资料,时间不多看群里热闹把讨论的是关于多连接的问题记下来以后整理.........夕草(8999094)2007-11-2922:26:20我夕草(8999094)2007
冷风·2020-06-22 22:35

fs寄存器

线程堆栈底部00CSubSystemTib010FiberData014ArbitraryUserPointer018FS段寄存器在内存中的镜像地址020进程PID024线程ID02C指向线程局部存储指针030PEB
caojichang·2020-06-22 20:35

获取kernel32.dll基址

获取kernel32.dll基址一原理和概述找kernel32基地址的方法一般有三种：暴力搜索法、异常处理链表搜索法、PEB法。暴力搜索法是最早的动态查找kernel32基地址的方法。
bcbobo21cn·2020-06-22 17:21

Windbg使用指南(1)---常用命令

peb显示processEnvironmentBlock4lmvm可以查看任意一个dll的详细信息例如：0:026lmvmmsvcrt(deferred)表示察看msvcrt.dll的信息，但是没有加载
aoosang·2020-06-22 14:31

通过PEB遍历当前进程中的模块(C语言实现)

0x00相关说明：Windows应用层如果要遍历当前进程所加载的模块可以使用WIN32API通过进程快照来实现通过PEB来遍历进程模块没有WIN32API的使用痕迹，在某些场合更加好用其中32位应用程序的
aigo10000·2020-06-22 13:02

Windows x64平台 获取PEB表，并获取kernel32.dll的基址,并获取它的函数

参考了：https://www.cnblogs.com/aliflycoris/p/5185097.html和另一位博主话不多说，进入正题：首先是获取PEB基址，先得懂怎么在64位平台嵌入汇编代码：参考这位博主
Giser_D·2020-06-21 21:15

fs段常用偏移地址

结构化异常处理地址moveax,dwordptrfs:[18h]//TEB线程环境块moveax,dwordptrfs:[20h]//ClientId客户端ID结构moveax,dwordptrfs:[30h]//PEB
御坂网络·2020-04-09 08:31

关于Windows的TEB/PEB结构的检测调试原理

首先给出TEB、PEB的基本解释：TEB是ThreadEnvironmentBlock的简写，同理PEB对应ProcessEnvironmentBlock，两者分别储存与线程和进程相关的内容，具体作用这里不进行赘述
FallMR·2020-04-09 06:10

PE病毒揭秘

实验一PE病毒之API函数地址获取点击访问通过该实验，使学生掌握使用PEB结构确定kernel32.dll基地址的方法与原理，通
合天智汇·2020-03-15 04:05

使用WinDbg验证PEB 基于x64

以下基于一个简单的x64位程序，在Windows10x64上调试TEB的结构dt_teb+0x000NtTib:_NT_TIB+0x038EnvironmentPointer:Ptr64Void+0x040ClientId:_CLIENT_ID+0x050ActiveRpcHandle:Ptr64Void+0x058ThreadLocalStoragePointer:Ptr64Void+0x060
成员·2020-03-12 17:08

内核中的进程 PEB TEB

大部分内容引用于：http://www.cnblogs.com/hanfenglun/archive/2009/03/20/1417506.html包含关系包含关系进程和线程关系进程和线程关系内核进程结构KPCR（Kernel'sProcessorControlRegion,内核进程控制区域）是一个不会随Windows版本变动而改变的固定结构体，在它的末尾（偏移0x120）指向KPRCB结构。KP
成员·2020-02-06 13:44

卡尔玛新皮肤原画曝光，厉害了我的兰盾

咱们来一起看看吧~英雄更新卡尔玛卡尔玛新皮肤原画，这颜色的搭配，不能再喜欢这样的发色了阿木木木乃伊之触（被动）额外真实伤害的比率从8%提升至10%（PEB为15%正式服为10%）绝望光环（W）每秒造成1
爱玩游戏的奇大大·2020-02-02 16:35

[故事]从Kickstarter当红辣子鸡到无奈被收购离场的Pebble

Peb
效率火箭·2020-01-07 04:17
上一页 1 2 3 4 5 6 7 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他