PEB 第4页

brpc之rpc流程分析(上)

bthread_id源码分析brpc之bthread源码浅淅(一)brpc之bthread源码浅淅(二)brpc之负载均衡源码分析多线程多读一写模型下的优化方向关于协程的实现分析：协程库基础知识Phxrpc协程库实现Peb

fooboo·2019-12-27 22:49

用ollydbg浅识TEB和PEB用来反跟踪 x86

大部分内容引用于：http://bbs.pediy.com/thread-119827.htm以下内容基于x86系统，x64请查看使用WinDbg验证PEB基于x64首先，来了解下什么是TEB和PEB。

成员·2019-11-04 01:13

109.C3：Understanding Cause and Effect Ⅳ（11.7+11.8+11.9）

Paste_Image.png生词：pebble['peb(ə)l]鹅卵石serene[sɪ'riːn]平静的ripple['rɪp(ə)l]涟漪aerosol['eərəsɒl]悬浮颗粒，喷雾器climate

法雲·2019-11-01 19:02

[Windows内核分析]KPCR结构体介绍 (CPU控制区 Processor Control Region)

至少掌握三个结构体：EPROCESS、ETHRAEAD、KPCR(注意：EPROCESS、ETHREAD是在R0，在R3的是PEB与TEB。）

OneTrainee·2019-10-15 07:00

利用C++实现模块隐藏(R3层断链）

一、模块隐藏的实现原理普通API查找模块实现思路：其通过查询在R3中的PEB(ProcessEnvironmentBlock进程环境块)与TEB(ThreadEnvironmentBlock进程环境块)

OneTrainee·2019-10-14 21:00

x32下的DLL隐藏

原理主要就是PEB中模块断链.这里整理下代码.原理可以看下另一篇我写的帖子.https://www.cnblogs.com/iBinary/p/9601860.html//dllmain.cpp:定义DLL

iBinary·2019-09-30 17:00

Volatility工具指令篇

Volatility-fnameimageinfovolatility-fnamepslist--profile=WinXPSP2x86列举进程：volatility-fname--profile=WinXPSP2x86volshelldt("_PEB

长路慢·2019-09-02 16:52

通过PEB寻找函数地址

通过PEB的Ldr参数（结构体定义为_PEB_LDR_DATA），遍历当前进程加载的模块信息链表，找到目标模块。

Bl0od·2019-08-27 22:00

反调试与反反调试

静态反调试特点：一般在调试开始时阻拦调试者，调试只需要找到原因后就可以一次性突破PEB⭐BeginDebug:调试标志位//通过检查PEB.BeingDebuged字段判断是否被调试//可以在目标程序运行之前修改对应的字段为

#搬砖仔·2019-08-18 21:00

口令加密算法 - Java加密与安全

位的数组我们普通的加入软件有所不同,我们在使用WinRAR这样的软件的时候,通常是用户输入的加密口令如果我们要用户自己输入口令,我们就需要用到PBE算法,它是PasswordBasedEncryption的缩写,PEB

Leon_Jinhai_Sun·2019-05-07 13:56

【ScyllaHide】 03 PEB相关反调试

反调试，接触算是有四五年了，每次遇到问题，都是一头雾水，不知如何下手，总是通过换调试器、找插件进行各种测试。翻看过很多文章，却又总是蜻蜓点水，希望通过ScyllaHide的源码分析，能对反调试有进一步的了解吧。先说下，最近翻看资料对反调试的理解吧。首先，要说下进程。进程是一个具有一定独立功能的程序关于某个数据集合的一次运行活动。进程的概念主要有两点：第一，每一个进程都有它自己的地址空间，一般情况下

看雪学院·2019-02-21 18:08

mov eax,dword ptr fs:[0] 指令

线程堆栈底部00CSubSystemTib010FiberData014ArbitraryUserPointer018FS段寄存器在内存中的镜像地址020进程PID024线程ID02C指向线程局部存储指针030PEB

大人的涂鸦丶·2018-02-06 17:35

二进制学习-反跟踪技术

0x00.BeingDebugged1.PEB（ProcessEnvironmentBlock,进程环境块）：（1）.有种保护技术会检测是否有调试器正在调试保护软件，然后需要获取是否被调试的消息，这个消息存储在

T1an5t·2018-02-06 12:07

171124 逆向-线程环境块（TEB）

.+0X30ProcessEnvironmentBlock:Ptr32_PEB偏移0

奈沙夜影·2017-11-28 23:07

AkeyMaker·2017-11-05 22:23

R3抹掉加载的DLL

思路是这样：FS--->TEB--->PEB--->PEB_LDR_DATA.InInitialzationOrderModuleList（细节偏移，以及结构定义我之间整理过，在这htt

TK13·2017-04-30 13:04

PEB TEB结构体使用

PEBTEB结构体使用一个可执行文件被OS加载到内存，并处理完成相关的模块加载，导入表处理……及其他必须处理后，形成一个进程。在OS内核中保存有一份关于这个进程的身份证信息，就是平常看到的HANDLE，叫进程句柄。。。OS完成加载后，FS段寄存器指向当前的TEB结构,具体TEB结构如下：kd>dt_tebnt!_TEB+0x000NtTib:_NT_TIB+0x01cEnvironmentPoin

左手CN·2016-08-02 17:38

获得KERNEL32.DLL模块地址以及函数的地址

通过PEB获得DWORDgetKernel32BaseAddrByPEB(){PVOIDpPeb=NULL;PVOIDpLdr=NULL;PVOIDpFlink=NULL;PVOIDptemp=NULL

qq_31694351·2016-05-29 23:55

通过PEB获取模块基址

PEB结构typedefstruct_PEB{//Size:0x1D8/*000*/UCHARInheritedAddressSpace;/*001*/UCHARReadImageFileExecOptions

qq_31694351·2016-05-29 16:06

xp得到KERNEL32.DLL基址的方法

xp得到KERNEL32.DLL基址的方法 _asm { //得到KERNEL32.DLL基址的方法 //assumefs:nothing//;打开FS寄存器 moveax,fs:[30h]//;得到PEB

·2016-03-14 00:00

<原创> 通过PEB获得进程路径 (附完整工程)

files.cnblogs.com/files/Gotogoo/%E8%BF%9B%E7%A8%8B%E7%AE%A1%E7%90%86%E5%99%A8%28x86%26%26x64%29.zip PEB

Gotogoo·2016-03-09 18:00

PED结构获取进程路径和命令行地址

1.FS寄存器 2.进入FS寄存器地址，7FFDD000 3.偏移30为PED结构 4.偏移地址10 3C，44偏移：路径地址，命令行地址//通过PEB结构去查找所有进程模块 void*PEB=NULL

dozeoo·2016-02-27 19:00

通用ShellCode学习笔记 2003/XP/Win7/Vista/Win8 通用

一、ShellCode的编写Kernel32地址的获取由于win7的_PEB_LDR_DATA表和以前的系统有了改变，直接查询0x08方式在win7下失效，为了保证shellcode的通用性（主要是增加对

伽罗kapple·2016-02-26 13:00

Windows 下常见的反调试方法

①最简单也是最基础的，Windows提供的API接口：IsDebuggerPresent()，这API实际上就是访问PEB的BeingDebugged标志来判断是否处于调试状态。

_懒人·2016-02-16 21:00

通过PEB得到Kernel32的基址，及遍历导出表寻找GetProcAddress

通过Windbg可以看到上面结果的成员及关系，然后我OD调试看看在windows7调试的上图中是PEB的起始位置这里是PEB_LDR_DATA 这里就可以看到第一个载入的dll是ntdll.dll

SmallDouble·2016-02-16 11:00

[免杀] Delphi 内嵌ASM获取kernel32.dll的模块句柄 XP/Vista/WIN7

Vista/WIN7以及X86/X64通吃functionKernel32Handle():HMODULE;{$IFDEFCPUX64}asm movrbx,$60 movrax,[gs:rbx] //peb

伽罗kapple·2016-01-25 18:00

8.2.6 PEB —— PEB结构值不正确的问题

书中作者使用dt_PEBxxxxxx命令来查看当前进程的PEB结构。实际操作后PEB结构显示的成员值：作为进程链表的LDR结构居然没有值，这显然是不正常的，地址也没有输错，问题到底出在哪里呢？

ZChameleon·2016-01-14 07:00

KPROCESS IDT PEB Ldr 《寒江独钓》内核学习笔记（3）

继续上一篇(2)未完成的研究，我们接下来学习 KPROCESS这个数据结构。 1. 相关阅读材料《深入理解计算机系统(原书第2版)》二. KPROCESS KPROCESS，也叫内核进程块。我们在开始学习它的数据机构之前，首先要思考的一个问题是，它和EPROCESS名字感觉差不多，那它们之间是什么关系呢？它们在内核区域中都位于那一层呢？

·2015-11-13 22:56

EPROCESS 进程/线程优先级句柄表 GDT LDT 页表《寒江独钓》内核学习笔记（2）

在学习笔记(1)中，我们学习了IRP的数据结构的相关知识，接下来我们继续来学习内核中很重要的另一批数据结构: EPROCESS/KPROCESS/PEB。

·2015-11-13 22:55

EPROCESS KPROCESS PEB

EPROCESS KPROCESS PEB 《寒江独钓》内核学习笔记（2）在学习笔记(1)中，我们学习了IRP的数据结构的相关知识，接下来我们继续来学习内核中很重要的另一批数据结构

·2015-11-13 22:15

Win32 XP 下和WIN7下获取Kernel32基址的方法

;xp下使用_GetKernelBase proc local @dwRet pushad assume fs:nothing mov eax,fs:[30h] ;获取PEB所在地址

·2015-11-13 09:08

旧书重温：0day2【2】实验：三种获取kernel32.dll基址的方法

0x01 找kernel32基地址的方法一般有三种：暴力搜索法、异常处理链表搜索法、PEB法。 0x02 基本原理暴力搜索法是最早的动态查找kernel32基地址的方法。

·2015-11-12 18:49

旧书重温：0day2【3】详细解读PEB法查找kener32地址

题外话：上一篇文章中的 PEB法查找kerner32地址的方法对TEB、PEB 、PE结构知识要求很高，确实在写汇编代码时候小编感觉自己能力，信手啪啪一顿乱撸，结果一运行，非法访问了，没办法翻阅前人的文章

·2015-11-12 18:49

windows程序员进阶系列：《软件调试》之Win32堆

默认堆的句柄会被保存在进程环境块_PEB的ProcessHeap字段中。要获得_PEB的地址，可以通过$peb伪寄存器来获得,dt _PEB @$peb。也可以通过.process获得。

·2015-11-12 13:44

关于fs寄存器的问题

TEB结构的0x30偏移是一个指向PEB的指针。PEB又是一个结构，这个结构的0x2偏移处是一个UChar，名叫BeingDebugged，当进程被调试时，此值为1，未被调试时此值为0

·2015-11-11 05:16

进程。。。线程。。。。

存在系统的空间中，除了一个叫PEB（进程环境块）的结构。。因为要在user-mode 修改该

·2015-11-11 03:23

基于TLS的反调试技术

在PEB（进程环境块）中TLS存储槽共64个（位于PEB的TlsBitmapBits字段中，共64位（bit）微软保证每个进程最少拥有64个索引可用，如果需要，系统还会为线程提供更多的索引）。

·2015-11-08 16:18

PEB获取GetProcAddrees函数地址

1.fs寄存器指向TEB结构 2.在TEB+0x30地方指向PEB结构 3.在PEB+0x0C地方指向PEB_LDR_DATA结构 4.在PEB_LDR_DATA+0x1C地方就是一些动态连接库地址了，

·2015-11-01 11:01

使用Windbg知道程序运行时的命令行参数.

peb打印出process environ

·2015-11-01 11:48

ActivityManager

引用：http://blog.sina.com.cn/s/blog_8984d3f301011peb.html 1.ActivityManager是android框架的一个重要部分，它负责一新ActivityThread

·2015-11-01 09:00

移植UBI的5号错误————UBI error: ubi_io_write: error -5 while writing 512 bytes to PEB 0:512, written 0 byte

1、5号错误UBIerror:ubi_io_write:error-5whilewriting512bytestoPEB0:512,written0bytes查阅include/asm-generic/error.h发现5号错误的定义为“#define EIO 5 /*I/Oerror*/”。在http://www.linux-mtd.infradead.org/faq/ubi.html#L_

huangan_xixi·2015-10-31 19:00

驱动层得到进程的完整路径

　　　在得到进程EProcess之后，对于进程完整路径的获得一般有两种方法，一种是访问的进程的PEB结构，在PEB结构中保存有进程的完整路径，另一种方法就是采用访问_FILE_OBJECT的方法。　　

·2015-10-31 10:50

通过PEB的Ldr枚举进程内所有已加载的模块

一、几个重要的数据结构，可以通过windbg的dt命令查看其详细信息 _PEB、_PEB_LDR_DATA、_LDR_DATA_TABLE_ENTRY 二、技术原理 1、通过fs:[30h]获取当前进程的

·2015-10-30 14:43

我接触过的windbg命令

peb 显示Process Environment Block lmvm 检查模块加载信息 .reload/!

·2015-10-28 08:58

强制卸载目标进程模块

http://blog.csdn.net/qq752923276/article/details/7333835 代码来源于网络，卸载模块后通过查询PEB得到进程信息的程序没有得到更新

·2015-10-27 14:55

windbg(GetProcessFullName)

_EPROCESS +0x1b0 Peb

·2015-10-21 12:20

通过简单Dump能获得的基本信息

peb查看环境变量的情况. 由于很多第三方软件都习惯把自身路径添加到环境变量中, 所以这里很多时候可以看出一些已经安装的软件. 同时还能看到当前进程所加载的DLL和对应路径.

·2015-10-21 12:47

反调试主要方法简述

反调试技术概览：怎么恶心怎么来PEB相关特点：一般在调试的开始阻拦调试者，调试者只需找到原因后可一次性突破。

aap159951·2015-09-25 08:00

ubifs烧写遇到《UBI error: ubi_io_read: error -1 while reading 64 bytes from PEB》

终于移植好了2.6.39的内核，烧写ubi文件系统后，第一次打印到/init初始化了，虽然oops了，但还是感觉离最后的成功越来越近了。可是，偶然断电重启发现，debug口打印却和第一次不一样了，在attachmtd的时候，内核已经开始打印了一些错误，如下3cmdlinepartpartitionsfoundonMTDdeviceatmel_nand Creating3MTDpartitionso

linglongqiongge·2015-09-03 15:00

通过GetProcessImageFileName函数获取进程路径

由于函数GetModuleFileName()和函数GetModuleFileNameEx()都是通过PEB头信息获取进程文件路径，所以它们只能工作于与调用进程相同位数的进程，比如：调用进程32位时，这两个函数只对

mrxyz098·2015-04-24 12:00

推荐频道

PEB