32位/64位获得进程peb的方法

最新推荐文章于 2021-10-09 20:54:54 发布

原创

最新推荐文章于 2021-10-09 20:54:54 发布 · 3.4k 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#Windows

本文介绍了如何通过未公开的NtQueryInformationProcess函数来获取其他进程的PEB，而不是采用复杂的注入和进程间通信方式。利用获得的PEB结构体，可以获取进程的模块、路径、命令行等信息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

逐渐将博客园的文章搬到优快云来吧。

基于上一篇文章获取peb结构，大概了解了peb的获取方法，但是那个方法只能获得当前进程的PEB，不能获得其他的进程的PEB。根据那个思想，获得其他进程PEB则需要注入，得到进程信息，然后进程间通信，将信息返回来，经过考虑，这个方法太复杂。

下面介绍的方法是用了一个未公开的函数NtQueryInformationProcess，获得进程信息，然后去读对方进程ReadProcessMemory。

结构体是使用的一个模板，从别处借鉴的。

#pragma once

#include <Windows.h>
#include <Strsafe.h>
#include <wchar.h>
#include <vector>


#define NT_SUCCESS(x) ((x) >= 0)

#define ProcessBasicInformation 0
typedef
NTSTATUS(WINAPI *pfnNtWow64QueryInformationProcess64)
(HANDLE ProcessHandle, UINT32 ProcessInformationClass,
    PVOID ProcessInformation, UINT32 ProcessInformationLength,
    UINT32* ReturnLength);

typedef
NTSTATUS(WINAPI *pfnNtWow64ReadVirtualMemory64)
(HANDLE ProcessHandle, PVOID64 BaseAddress,
    PVOID BufferData, UINT64 BufferLength,
    PUINT64 ReturnLength);

typedef
NTSTATUS(WINAPI *pfnNtQueryInformationProcess)
(HANDLE ProcessHandle, ULONG ProcessInformationClass,
    PVOID ProcessInformation, UINT32 ProcessInformationLength,
    UINT32* ReturnLength);

template <typename T>
struct _UNICODE_STRING_T
{
    WORD Length;
    WORD MaximumLength;
    T Buffer;
};

template <typename T>
struct _LIST_ENTRY_T
{
    T Flink;
    T Blink;
};

template <typename T, typename NGF, int A>
struct _PEB_T
{
    typedef T type;

    union
    {
        struct
        {
            BYTE InheritedAddressSpace;
            BYTE ReadImageFileExecOptions;
            BYTE BeingDebugged;
            BYTE BitField;
        };
        T dummy01;
    };
    T Mutant;
    T ImageBaseAddress;
    T Ldr;
    T ProcessParameters;
    T SubSystemData;
    T Pr