fs寄存器

最新推荐文章于 2021-01-15 12:46:20 发布

weixin_30502965

最新推荐文章于 2021-01-15 12:46:20 发布

阅读量525

点赞数

CC 4.0 BY-SA版权

文章标签：数据结构与算法

原文链接：http://www.cnblogs.com/dpblue/p/4850661.html

本文介绍了如何通过fs寄存器访问特定的数据结构来判断进程是否处于被调试状态。详细解释了fs:[0]指向TEB结构，进而通过TEB获取PEB，并检查PEB中的BeingDebugged字段来实现这一目的。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。

2、对于Ring3的应用程序，fs:[0]的地址指向的是TEB结构，这个结构的开头是一个NT_TIB结构，NT_TIB结构的0x18偏移处是一个Self指针，指向这个结构自身，也就是指向TEB结构的开头。
TEB结构的0x30偏移是一个指向PEB的指针。PEB又是一个结构，这个结构的0x2偏移处是一个UChar，名叫BeingDebugged，当进程被调试时，此值为1，未被调试时此值为0

因此以下代码逐行执行后的结果：
mov eax,dword ptr fs:[18h];eax=TEB的指针
mov eax,dword ptr [eax+30h];eax＝PEB的指针
movzx eax,byte ptr [eax+2h];eax=PEB.BeingDebugged（byte扩展为dword）

MASM中默认是fs:error，也就是默认不能使用fs段寄存器，因此要在masm中使用它时必须先assume fs:nothing
fs是段寄存器，即保存段选择子，对应的地址通过GDT或LDT中的相应项目来决定其范围和使用权限等。

最后回到IsDebuggerPresent，它就是通过检查PEB中的BeingDebugged字段来确定进程是否处于被调试状态的，因此修改此字段可以直接影响此API的返回值。

转载于:https://www.cnblogs.com/dpblue/p/4850661.html