进程peb结构、获得peb的方法

最新推荐文章于 2025-06-06 22:05:00 发布
最新推荐文章于 2025-06-06 22:05:00 发布
阅读量3.3k 收藏 8
点赞数
CC 4.0 BY-SA版权
分类专栏： Windows 文章标签： Windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_33839048/article/details/79442778
本文深入探讨了Windows系统中的进程环境块（PEB）结构，详细介绍了PEB的组成，并分享了两种有效获取PEB地址的实用方法，对于理解Windows内核机制和进程内存管理具有重要意义。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

PEB ：进程环境块
TEB.ProcessEnvironmentBlock成员就是PEB的结构体地址
TEB结构体位于FS段选择符所指的段内存的起始地址处，
且ProcessEnvironmentBlock成员位于距TEB结构体Offset 3
最低0.47元/天 解锁文章

200万优质内容无限畅学
PEB结构的获取
SauceJ的专栏
08-15 3719
PEB结构----枚举用户模块列表。 PEB
枚举windows进程模块的几种方法—PEB内核结构详解
阔野的专栏
11-18 5486
1. 引言 在诸多的场景中（例如软件测试，软件安全研究等领域）经常需要分析在目标进程中具体加载了哪些模块(DLL)，以及所加载的模块的信息（如模块基地址，映射文件大小等）。获取这windows进程加载的模块信息，曾经有一个行之有效又很便捷的方法，使用windows提供PSAPI(psapi.dll，windows进程状态信息接口)提供的相关的接口就可以快捷的获取进程及进程加载的模块信息。有关PSAPI接口可以参考psapi.h或者微软的官方文档Psapi.h heade...
windows反调试
最新发布
weixin_65463446的博客
06-06 684
调试标志检测与反调试技术
获得目标进程PEB，并获得进程各种信息
weixin_33762130的博客
02-14 1188
本程序可完美获得x64和x86程序PEB，及环境变量等信息。 程序首先用OpenProcess打开目标进程，然后用Ntddl.dll导入表中微软未公开函数NtWow64QueryInformationProcess64（NtQueryInformationProcess）、NtWow64ReadVirtualMemory64（ReadProcessMemory）来获得目标进程信息。 // En...
32位 64位 获得进程peb的方法
aijuzhou1959的博客
02-14 656
基于上一篇文章，大概了解了peb的获取方法，但是那个方法只能获得当前进程的PEB，不能获得其他的进程的PEB。根据那个思想，获得其他进程PEB则需要注入，得到进程信息，然后进程间通信，将信息返回来，经过考虑，这个方法太复杂。 下面介绍的方法是 用了一个未公开的函数NtQueryInformationProcess，获得进程信息，然后去读对方进程ReadProcessMemory。 结...
ring0获取指定进程的PEB
Lydia的博客
10-23 1886
#ifndef TYPEDEF_H #define TYPEDEF_H typedef PPEB (__stdcall *P_PsGetProcessPeb)(PEPROCESS); typedef unsigned char BYTE; typedef struct _RTL_USER_PROCESS_PARAMETERS { BYTE Reserved1[16];
利用32位PEB结构实现从进程ID中得到进程完整路径
nyzdmc的博客
11-20 1416
本程序只使用于32位！ 即只能寻找32位进程的完整路径！ 使用PEB结构以得到进程的完整路径（包括从进程ID得到进程PEB地址和从PEB结构得到进程完整路径） GetProcessFullPathByProcessID相当于两个函数GetPebByProcessID,GetProcessFullPathByPeb的合并。 从PEB结构中得到进程的完整路径: 通过PEB结构中的RTL_USER_PROCESS_PARAMETERS类型的ProcessParameters成员，ProcessParamet
32位/64位 获得进程peb的方法
HsinTsao的博客
03-05 3443
逐渐将博客园的文章搬到优快云来吧。基于上一篇文章获取peb结构，大概了解了peb的获取方法，但是那个方法只能获得当前进程的PEB，不能获得其他的进程的PEB。根据那个思想，获得其他进程PEB则需要注入，得到进程信息，然后进程间通信，将信息返回来，经过考虑，这个方法太复杂。下面介绍的方法是 用了一个未公开的函数NtQueryInformationProcess，获得进程信息，然后去读对方进程Rea...
MyHider.zip_peb_peb模块隐藏_vad_模块隐藏_进程隐藏
07-14
首先，PEB（Process Environment Block）是每个Windows进程的核心结构，它存储了关于进程的重要信息，如进程是否为调试状态、进程的可执行文件路径、加载的模块列表等。黑客可以利用PEB来隐藏进程模块，使其不被系统...
Process Environment Block（PEB）
寻梦&之璐
01-25 6819
简介 PEB（Process Environment Block，进程环境块）是存放进程信息的结构体，尺寸非常大，其大部分内容都已被文档化 PEB访问方法 TEB.ProcessEnvironmentBlock成员就是PEB 结构体的地址。TEB结构体位于FS段选择符所指的段内存的起始地址处，且ProcessEnvironmentBlock成员位于距TEB结构体Offest 30的位置。 即如下式子成立： FS：[30]=TEB.ProcessEnvironmentBlock=address of PEB
驱动开发：内核通过PEB得到进程参数
热门推荐
优快云
10-10 1万+
其中文名是进程环境块信息，进程环境块内部包含了进程运行的详细参数信息，每一个进程在运行后都会存在一个特有的PEB结构，通过附加进程并遍历这段结构即可得到非常多的有用信息。，如果在内核层想要得到应用层进程的PEB信息我们需要调用特定的内核函数来获取，如下案例将教大家如何在内核层取到应用层进程的PEB结构。这个内核函数，因为该内核函数没有被公开所以调用之前需要头部导出，该函数需要传入用户进程的。附加到应用层进程上，即可直接输出进程的PEB结构信息，如下代码。进程环境快结构体，用于对内存指针解析，新建。
Windows逆向之PEB（Process Environment Block，进程环境块）
m0_57836225的博客
08-12 1094
需要注意的是，在用户模式下直接访问和修改 PEB 是不被允许的，并且可能导致系统不稳定或出现错误。通常，开发人员会使用 Windows 提供的 API 函数来获取与进程相关的信息，而不是直接操作 PEB 结构。需要强调的是，使用这些技术进行恶意活动是非法和不道德的。在网络安全研究和合法的防御工作中，对这些技术的了解有助于增强系统的安全性和防范恶意攻击。进程环境块（PEB，Process Environment Block）是 Windows 操作系统中用于存储特定进程的相关信息的数据结构。
PEB及PEB_LDR_DATA结构
BetaBin
04-20 1万+
PEB结构如下：（比MSDN上详细多了http://msdn.microsoft.com/en-us/library/windows/desktop/aa813706(v=vs.85).aspx） 这个进程环境块就不罗嗦了，直接贴代码。 typedef struct _PEB { // Size: 0x1D8 /*000*/ UCHAR InheritedAddressSpace; /*001
5.4 Windows驱动开发：内核通过PEB取进程参数
优快云
11-21 8436
PEB结构`(Process Envirorment Block Structure)`其中文名是进程环境块信息，进程环境块内部包含了进程运行的详细参数信息，每一个进程在运行后都会存在一个特有的PEB结构，通过附加进程并遍历这段结构即可得到非常多的有用信息。 在应用层下，如果想要得到PEB的基地址只需要取`fs:[0x30]`即可，TEB线程环境块则是`fs:[0x18]`，如果在内核层想要得到应用层进程的PEB信息我们需要调用特定的内核函数来获取。
Windows编程-获取其他进程的命令行信息
NINE_world的博客
10-04 1511
#include <iostream> #include <windows.h> #include <tchar.h> #include <winternl.h> //如何获得其他进程的命令行信息？ /* * 每一个进程里面都对应一个环境变量快PEB * 如果想要获得其他进程的命令行信息，首先就要获得其他进程的PEB结构体 * * 如何获得其他进程的PEB结构体信息？ * NtQueryinformationProcess 函数 * 第一个参数是进
PEB结构----枚举用户模块列表
05-16 1402
参考文章：1.  http://blog.youkuaiyun.com/ayken/archive/2...3/1509027.aspx2.  http://icwin.net/ShowArtitle.ASP?art_id=6315&cat_id=39本文在主主要以上述两篇文章为基础，对PEB的结构进行了详细的分析，重点是在揭示PEB结构中的list—entry的应用，并且以C语言Code进行实证。本文主要分
四种方法获取Teb和Peb
QXinHan的博客
12-05 2938
。
获取进程基址小技巧（傀儡进程）
Sven的忘却日记
07-29 2117
创建傀儡进程时，一般需要以挂起模式创建进程，然后调用未导出NT函数NtQueryInformationProcess来获取目标进程的PEB地址，拿到PEB地址后，再通过ReadProcessMemory获取目标进程的PEB数据，最后NtUnMapViewOfSection，传入PEB结构中的ImageBaseAddress来卸载目标进程的内存。 其实可以直接通过GetThreadContext这个...
PEB隐藏模块技术解析
PEB隐藏模块是一种高级技术，涉及到对Windows内核的理解和对PEB结构的直接操作，主要用于调试、逆向工程或者恶意软件隐藏。对于系统安全和软件开发人员来说，了解这种技术有助于提升对系统底层运作的理解，同时也能...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值