搜索PEB结构获取Kernel32.dll基址

最新推荐文章于 2025-03-05 11:18:04 发布
原创 最新推荐文章于 2025-03-05 11:18:04 发布 · 3.2k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#module #汇编 #平台 #c

本文介绍了如何通过TEB结构找到PEB，进一步利用PEB_LDR_DATA中的初始化顺序模块列表，搜索到Kernel32.dll的模块信息。在WinNT平台上，该方法通常能从NTDLL.DLL之后的链表节点获取到Kernel32.dll的基址。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

    TEB偏移0x30处，即FS:[0x30]地址处保存着一个指针，指向PEB，PEB结构的偏移0xC处保存着另外一个指针ldr，该指针执行PEB_LDR_DATA

image

    该结构的后三个成员是指向LDR_MODULE链表结构中相应三条双向链表头的指针，分别是按照加载顺序、在内存中地址顺序和初始化顺序排列的模块信息结构的指针。

最低0.47元/天 解锁文章

200万优质内容无限畅学
strongxu
关注
第10章 shellcode实战：05 原则：Kernel32基址的获取
李小咖·网安技术库
05-01 1232
​简单说，kernel32基址是指kernel32.dll这个动态链接库加载到内存中后，它内存最开始的位置。任何一个exe加载到内存执行的时候，它所用到的动态链接库（dll）也都需要加载到内存中，才能够使用这个dll中的导出函数。在shellcode中，因为不存在PE结构，所以对每一个用到的函数所对应的dll文件，都需要我们手动去加载（即映射到内存）。比如我们要使用socket()这个函数，就需要先将这个函数所在的ws2_32.dll映射到内存，一般我们可以使用LoadLibrary这个函数来实现。
搜索PEB的相关结构获取Kernel32.DLL的基址
FISH 的专栏
01-29 1533
 
学习笔记通过PEB获取kernal32.dll基地址
popkun222的专栏
03-06 1424
原始代码来自PE权威指南 ;------------------------ ; 获取kernel32.dll的基址 ; 从PEB结构中搜索kernel32.dll的基地址 ; 戚利 ; 2010.6.27 ;------------------------ .386 .model flat,stdcall option casemap:none ...
kernel32.dll基址
ListenerForTom的博客
04-01 916
得到KERNEL32.DLL基址的方法assume fs:nothing ;打开FS寄存器 mov eax,fs:[30h] ;得到PEB结构地址 mov eax,[eax + 0ch] ;得到PEB_LDR_DATA结构地址 mov esi,[eax + 1ch] ;InInitializationOrderModuleList l
获取Kernel32基地址
最新发布
sagic的博客
03-05 819
当异常发生时，系统从fs:[0]指向的内存地址处取出ExceptionList字段，然后从ExceptionList字段指向的_EXCEPTION_REGISTRATION_RECORD结构中取出handler字段，并根据其中的地址去调用异常处理程序（回调函数）。异常处理链表是提到的由_EXCEPTION_REGISTRATION_RECORD结构构成的单链表。
确定kernel32.dll基址的方法
annhf的专栏
12-01 3510
kernel32.dll这个文件十分重要，它包含很了我们需要使用的函数。比如说，GetProcAdress和LoadLibraryA这个两个函数。想想，通过这两个函数 我们就可以得到所有的函数。如果我们确定了这个动态链接库文件的基址，就可以找到这两个函数的偏移量。怎么确定这个动态链接库的基址呢？这里一共有三个方法1PEBpeb是process environment block的缩写，每个进程都对
《Windows PE》9.2 动态加载技术-获取kernel32.dll基址
bcdaren的博客
10-23 1493
上一节中我们介绍了如何动态调用DLL的方法。首先调用LoadLibrary函数动态加载DLL，然后调用GetProcAddress通过函数名获取DLL内的函数地址。但是LoadLibrary和GetProcAddress函数的调用仍然依赖于PE文件内的导入表和函数地址表的存在。在操作系统加载PE文件到内存时获取这两个函数的地址。本节我们将介绍一种完全不依赖于导入表和函数地址表的方法，实现对DLL动态链接库中函数的调用。简单来说，需要经过以下三步：步骤1获取kernel32.dll的基地址。
Win 7下定位kernel32.dll基址及shellcode编写1
08-03
在Windows 7中，可以使用类似上述的技巧来编写能够找到kernel32.dll基址并调用其中的函数，如`CreateProcess`，以启动calc.exe的shellcode。 总之，定位kernel32.dll基地址是编写跨平台、跨版本的Windows shellcode...
C++如何测试dll_Windows x86 Shellcode开发：寻找Kernel32.dll地址
weixin_39807691的博客
11-20 314
前言针对一个已经学习了Linux Shellcode开发，并开始在Windows上尝试的研究人员来说，这一过程可能要比想象的更加艰难。Windows内核与Linux完全不同。尽管如此，但Linux内核要比Windows更容易理解，原因在于其开源的特性，并且与Windows相比，Linux只具有相当少的功能。另一方面，Windows在过去几年中进行了重大的改进，由于这一改进，新版本与老版...
动态获取kernel32.dll函数
01-04
动态获取kernel32.dll实现无导入表的hello world
C++内存地址分配和内存区划分简介
silenough的专栏
07-07 6625
第一部分 C++内存地址分配简介 1 内存地址是从高地址到低地址进行分配的：   int i=1; int j=1; cout 2 函数参数列表的存放方式是，先对最右边的形参分配地址，后对最左边的形参分配地址。 3 Little-endian模式的CPU对操作数的存放方式是从低字节到高字节的 0x1234的存放方式入下： 0X4000 0x34 0X4001 0x12
转载 获得kernel32.dll基地址
Breaking The Secretes
05-01 1335
获取kernel32.dll映像基址   很久不写关于技术的东西了，由于最近在研究内嵌汇编和机器码的注入，故把下面这段代码列出来。其中C/C++的部分和inline asm的最后一句是我写的。自评：极其缺乏原创精神。
使用 C++ 在当前进程中获取指定模块的基址
qq_62989250的博客
05-30 1221
使用 C++ 在当前进程中获取指定模块的基址
获取Kernel32基地址的几种方法
liwei8703的专栏
12-15 1456
1、CreateProcess函数在完成装载应用程序后，会先将一个返回地址压入到堆栈顶端，而这个返回地址恰好在Kernel32.dll中，利用这个原理我们可以顺着这个返回地址按64KB大小往地址搜索，那么我们一定可以找到Kernel32模块的基地址，废话少说，代码如下：GetK32Base:    mov eax, [esp+04h]     ;得到kernel32的返回地址    and
关于kernel32基地址获取
xrain_zh的专栏
03-27 5171
[-] 关于kernel32基地址获取 一shellcode获取kernel32dll基地址二获取当前进程的PID 文件名 以及完整路径 关于kernel32基地址获取 http://joychou.sinaapp.com/index.php/Reverse/teb.html 一、shellcode（获取kernel32.dll基地址） 首先了解TEB，
获取kernel32.dll基址
bcbobo21cn的专栏
01-03 5911
获取kernel32.dll基址 一 原理和概述 找kernel32基地址的方法一般有三种：暴力搜索法、异常处理链表搜索法、PEB法。 暴力搜索法是最早的动态查找kernel32基地址的方法。它的原理是: 几乎所有的win32可执行文件（pe格 式文件）运行的时候都加载kernel32.dll，可执行文件进入入口点执行后esp中存放的一般是 Ker
第10章 shellcode实战：06 原则：函数地址的动态获取
李小咖·网安技术库
05-02 195
实现对GetProcAdress函数地址的获取后，就可以结合kernel32的基址，再次获取到LoadLibraryA（或LoadLibraryW）这个函数的地址，然后就可以LoadLibraryA+GetProcAdress实现对任意函数的动态调用。上述GetProcAddress地址的获取，是基于PE结构导出表定位函数地址的原理。上一讲我们介绍了kernel32基址的获取，这一节来介绍如何解决GetProcAddress动态调用的问题。在上述代码中，我们测试了MessageBoxA函数的动态调用。
获得KERNEL32.DLL模块地址以及函数的地址
SUNE__学无止境
05-29 2951
一、通过PEB获得DWORD getKernel32BaseAddrByPEB() { PVOID pPeb = NULL; PVOID pLdr = NULL; PVOID pFlink = NULL; PVOID ptemp = NULL; PVOID BaseAddr = NULL; PVOID pFullName = NULL; __a
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值