Windows下面的PEB/TEB是用什么结构体表示的?

lsner2 2013-07-31 05:30:33

linux下面的PEB就是task_struct这个东东。

那么windows下面的PEB用什么结构体表示的?
同样,TEB呢?

...全文

1829 1 打赏收藏转发到动态举报

写回复

1 条回复

切换为时间正序

请发表友善的回复…

发表回复

hotpos 2013-07-31

打赏
举报

回复

PEB http://msdn.microsoft.com/en-us/library/windows/desktop/aa813706(v=vs.85).aspx TEB http://msdn.microsoft.com/en-us/library/windows/desktop/ms686708(v=vs.85).aspx 上面是微软RING3官方资料。下面这个比较全 http://bbs.nyasama.com/forum.php?mod=viewthread&tid=585

易语言获取“TEB/PEB”结构体成员值数据。@Zoom。

在开始使用`TEB/PEB`获取进程或线程ID之前，我想有必要解释一下这两个名词，PEB指的是进程环境块`（Process Environment Block）`，用于存储进程状态信息和进程所需的各种数据。每个进程都有一个对应的`PEB`结构体。TEB指的是线程环境块`（Thread Environment Block）`，用于存储线程状态信息和线程所需的各种数据。每个线程同样都有一个对应的`TEB`结构体。PEB中包含了进程的代码、数据段指针、进程的环境变量、进程启动参数信息以及加载的dll信息等。P

在x86模式下FS寄存器是指向当前线程的TEB结构体的。GetProcessHeap是一个API函数，如果函数成功，则返回值是调用进程的堆的句柄。首先会获取TEB的地址，接着找到TEB偏移18h的位置找到ProcessHeap这个成员的值返回。我们只关注两个成员，一个是在偏移0x60处的ProcessEnvironmentBlock成员，一个就是第一个成员NtTib。我们知道在x64下gs指向的是TEB,在TEB偏移60的位置取得ProcessEnvionmentBlock,也就是PEB的地址。

文章目录结构体BeingDebuggedLdr老版本成员 Process Environment Block，另一个很重要的是TEB，都是高级调试的基础。 MSDN文档给的资料很少，以后练习调试会慢慢补充。 FS:[30] == TEB.ProcessEnvironmentBlock == address of PEB 获取PEB地址： mov eax, dword ptr fs:[30h] 或者...

PEB TEB结构体属于windows平台进程的一个重要数据结构，使用windbg查看结构体信息及相关结构体成员信息的利用

进程/线程/DLL

15,471

社区成员

49,182

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章