TEB与PEB结构定位、PE结构导入表与导出表定位

最新推荐文章于 2024-08-12 23:12:04 发布
最新推荐文章于 2024-08-12 23:12:04 发布
阅读量1k 收藏
点赞数 2
CC 4.0 BY-SA版权
分类专栏： windows游戏安全 Windows逆向 文章标签： PE结构 TEB结构 WINDOWS开发 逆向分析 OD反汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_43312649/article/details/99092346
本文详细介绍了如何通过TEB定位到PEB，进而找到PE结构的导出表和导入表。通过Windbg和OD分析，揭示了在Windows开发和逆向分析中，如何利用LDR的双向链表访问模块信息。同时，探讨了PE文件的导出表和导入表的定位方法，包括IMAGE_NT_HEADERS、IMAGE_OPTIONAL_HEADER32等关键结构，以及IAT和IMAGE_THUNK_DATA的角色。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

TEB定位 PE导入表导出表定位


对于windows可执行文件的研究与学习，学会TEB PEB结构以及PE结构是必经之路。

TEB定位到模块基址

在这里插入图片描述
使用Windbg和OD同时分析软件。
在这里插入图片描述
线程环境块 TEB+0X30==PEB ProcessEnvironmentBlock进程环境块
在这里插入图片描述
在这里插入图片描述
三个入口点我们取了第三个InInitializationOrderModuleList入口
在这里插入图片描述
每一个入口点都是相同的结构有三个门，

了解本专栏 订阅专栏 解锁全文 超级会员免费看
PEB TEB结构体使用
左手
08-02 4975
PEB TEB结构体属于windows平台进程的一个重要数据结构，使用windbg查看结构体信息及相关结构体成员信息的利用
Windows10 x64 获取PEB表，并获取ntdll基址
want的博客
10-31 3735
1.Windows通过TEB封装信息,TEB中包含PEB表,如图: 具体过程是从teb->peb->ldr->InInitializationOrderModuleList->dll模块基址,经过一系列的结构体偏移得到模块初始化装载顺序. 2.dt _TEB 可以看到PEB表偏移 kd> dt _TEB nt!_TEB +0x000 NtTib : _NT_TIB +0x038 EnvironmentPointer : Ptr64
TEB/PEB定位PE文件导入导出表
w_g3366的博客
09-07 1964
文章目录TEB/PEB定位PE文件导入导出表TEB-线程环境块PEB-进程环境块定位导入导出表 TEB/PEB定位PE文件导入导出表 基本思路： TEB/PEB定位PE文件基址 通过FS寄存器找到当前的TEB 通过[TEB+0x30]找到PEB的地址 通过[PEB+0x0C]找到PEB_LDR_DATA的结构体指针 通过[PEB_LDR_DATA+0x1C]找到此结构体的成员InInitiali...
PEB结构----枚举用户模块列表(图)
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
09-04 2189
本文在主主要以上述两篇文章为基础，对PEB的结构进行了详细的分析，重点是在揭示PEB结构中的list—entry的应用，并且以C语言Code进行实证。 　　本文主要分为四个部分，第一部分说明PEB地址如何获得;第二部分说明PEB的框架结构;第三部对PEB中的List-Entry结构进行了详细剖析，第四部分给出了枚举用户模块列表的代码。 　　-----------------------
进程peb结构、获得peb的方法
aijuzhou1959的博客
02-13 587
PEB ：进程环境块TEB.ProcessEnvironmentBlock成员就是PEB的结构体地址TEB结构体位于FS段选择符所指的段内存的起始地址处，且ProcessEnvironmentBlock成员位于距TEB结构体Offset 30的位置即有两种方法获得PEB的地址 peb的结构申明： typedef struct _UNICODE_STR { U...
Windows x64平台 获取PEB表，并获取kernel32.dll的基址,并获取它的函数
MusicMan
05-31 5597
参考了：https://www.cnblogs.com/aliflycoris/p/5185097.html 和另一位博主 话不多说，进入正题： 首先是获取PEB基址，先得懂怎么在64位平台嵌入汇编代码：参考这位博主https://blog.youkuaiyun.com/Giser_D/article/details/90670974 汇编代码： .CODE GetPeb PRO...
PEB-DLL.zip工具：分析exe加载的DLL模块地址与名称
PE文件结构包含了文件的元数据，比如导入和导出的函数、资源、重定位信息等。了解PE结构有助于分析和修改程序行为，包括添加或删除DLL的加载。 #### 8. Windows API Windows操作系统提供了丰富的API接口供开发者...
Windows DLL基本原理与加载连接的实现--赵星宇
weidade3621的专栏
01-01 6264
Windows DLL基本原理         Windows系统平台上，你可以将独立的程序模块创建为较小的DLL(Dynamic Linkable Library)文件，并可对它们单独编译和测试。在运行时，只有当EXE程序确实要调用这些DLL模块的情况下，系统才会将它们装载到内存空间中。这种方式不仅减少了EXE文件的大小和对内存空间的需求，而且使这些DLL模块可以同时被多个应用程序使用。Mi
【逆向】【Part 1】Windows基础知识
lanlanla的成长历程
01-08 2132
目录 1.Win32的软硬件平台 1.80X86系列处理器 2.80X86处理器的工作模式 2.Windows内存管理 1）实模式下的寻址方式 2）保护模式下的内存寻址 3）内存分页机制 4）Windows的内存安排 3.Windows的特权保护 1.80386的中断和异常 （1）80386实模式下的中断和异常处理 （2）80386保护模式下的中断和异常处理 2.8038...
软件逆向术语表
gold0523的专栏
08-13 1118
软件安全相关术语比较多，同一样东西不同的称呼，有时让初学者范迷糊，所以整理了该术语表。另外，到时会精选部分词条放进《加密与解密（第三版）》术语表中（如果你提供的术语有5条收录进去，会将你论坛ID放进致谢名单中）。 下面是我整理的部分内容，还没优化和排序，欢迎大家指正和补充：
windows逆向之PE文件输入表
最新发布
m0_57836225的博客
08-12 1220
然后通过 `dosHeader->e_lfanew` 计算出 `IMAGE_NT_HEADERS` 的偏移地址，并将其与 `baseAddress` 相加，再强制转换为 `PIMAGE_NT_HEADERS` 类型的指针 `ntHeaders`。`e_lfanew` 是 `IMAGE_DOS_HEADER` 结构中的一个成员。所以 `dosHeader->e_lfanew` 表示获取 `dosHeader` 所指向的 `IMAGE_DOS_HEADER` 结构中的 `e_lfanew` 成员的值。
反调试/反汇编技术、TEB/PEB部分说明
qq_18811919的博客
02-05 1606
反调试技术 WindowsAPI ISDebuggerPresent 查询PEB进程环境块中的ISDebugged标志 CheckRemoteDebuggerPresent 类似于IsDebuggerPresent函数，但是也可以检查其他进程 NtQueryInfomationProcess 提取一个给定进程的信息，第一个参数是进程句柄，第二个参数告诉我们它需要提取的进程信息类型，参数设置为ProcessDebugPort将会告诉你这个句柄标识的进程是否被调试 手动检查数据结构 （1）检查BeingDebu
TEB 、PEB 、SEH
墨鱼菜鸡
09-09 148
从TEB到PEB再到SEH(一)从TEB到PEB再到SEH(二)
Windows探究TEB和PEB
qq_30528603的博客
09-03 902
在x86模式下FS寄存器是指向当前线程的TEB结构体的。GetProcessHeap是一个API函数，如果函数成功，则返回值是调用进程的堆的句柄。首先会获取TEB的地址，接着找到TEB偏移18h的位置找到ProcessHeap这个成员的值返回。我们只关注两个成员，一个是在偏移0x60处的ProcessEnvironmentBlock成员，一个就是第一个成员NtTib。我们知道在x64下gs指向的是TEB,在TEB偏移60的位置取得ProcessEnvionmentBlock,也就是PEB的地址。
调试与反调试系列丨跑的比main快的反调试
m0_64973256的博客
06-16 204
视频制作不易，求三联支持，拜谢~添加公众账号“极安御信安全研究院”，报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。进交流群报暗号“交流群” 网络安全交流群QQ：434238324...
PEB和TEB资料整合
weixin_30591551的博客
01-07 422
一、概念 　　TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。一个进程的所有TEB都以堆栈的方式，存放在从0x7FFDE000开始的线性内存中，每 4KB为一个完整的TEB，不过该内存区域是向下扩展的。在用户模式下，当前线程的TEB位于独立的...
TEB(线程环境块)学习
weixin_44156885的博客
09-11 5670
文章目录TEBTEB结构中的两个重要成员NtTib成员PEB成员PEB.BeingDebuggedPEB.ImageBaseAddressPEB.LdrPEB.ProcessHeap & PEB.NtGolbalFlag TEB TEB结构中的两个重要成员 +0x000 NtTib :_NT_TIB . . . +0x30 ProcessEnvironmentBlock ...
缓冲区溢出保护机制——Windows
weixin_30654583的博客
03-11 481
缓冲区溢出保护机制 Windows GS安全编译选项 Visual Studio 2003及以后版本的Visual Studio中默认启用了这个安全编译选项。 GS编译选项为每个函数增加了一些额外的数据和操作： 1、在所有函数调用发生时，向栈帧内压入一个额外的随机DWORD，这个随机数被称作“canary”，用IDA反汇编时，又被称作“Security Cookie”。 2、canar...
PEB,TEB初学.
fun0526的专栏
08-21 6871
<br /><br />TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。一个进程的所有TEB都以堆栈的方式，存放在从0x7FFDE000开始的线性内存中，每4KB为一个完整的TEB，不过该内存区域是向下扩展的。在用户模式下，当前线程的TEB位于独立的4KB段，可通过CPU的FS寄存器来访问该段，一般存储在[FS:0]。在用户态下WinDbg中可用命令$t
C++ PEB结构中PPE解析与函数地址调用技术
PEB结构可以通过TEB（Thread Environment Block）中的FS段寄存器偏移来访问，FS:[0x30]就是PEB结构的基地址。获取到PEB结构后，可以进一步读取其中的成员，例如： - InheritedAddressSpace：标识进程是否继承了父...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

摔不死的笨鸟

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值