【原创】浅谈FS ~_TEB _PEB

工具虚拟机+windbg
环境:Xp
:3:
FS指向当前TEB，那什么是TEB呢？ 虽然在ddk中有结构，但我们不知道他的大小，不知道大小也就不知道偏移量。
1.打开我们熟悉的windbg 输入dt _teb来简单探索
针对第一个问题：我们可以用asm直接访问FS来得到的地址
代码如下
意思如下得到fs+20处的地址并取出数据，放在eax中，吧eax赋值给id。
4个数据寄存器32/16位(EAX,AX、EBX,BX、ECX,CX和EDX,DX)
2.同样在windbg中输入dt _peb 得到下面信息
代码如下:
解释 PEB位于 TEB偏移的30处， 得到地址后给了eax ，eax+30就是PEB的指针,我们要指针里面的数据，而[eax+08h]是读出指针地址里面的内容在给ImageBaseAddres 。
具体看代码。
动手马上就懂~
。:D::D:也就是,这个结构里面有的内容我们都可以去拿，那windbg得到结构，通过结构得到各种数据。
asm是个好东西，他能打打提高代码的效率~~
:p:没什么技术含量，大牛请飘过。
群：121157016 欢迎你的加入~:3:
提提问题, 内核,病毒分析,网络。
代码：
#include [COLOR="rgb(255, 0, 255)"]<stdio.h>[/COLOR]
#include <string.h>
int main (viod)
{
int a=100;
int (*aaa)(int);
int PEB;
int i;
_asm
{
mov eax, fs:[0x30];
mov PEB,eax;

}

printf("当前PEB地址:0x%x\n", PEB);



_asm
{
mov eax, fs:[0x20];
mov PEB,eax;


}

printf("当前进程ID:0x%x\n", PEB);
printf("[COLOR="rgb(255, 0, 255)"]当前ID指针地址:0x%x\n[/COLOR]",&PEB);
_asm
{
mov eax,fs:[30h];
mov ebx,[eax+02h];
mov PEB,ebx;


}
printf("当前系统调试:0x%x\n",PEB);
printf("[COLOR="rgb(255, 0, 255)"]当前系统调试:%d\n[/COLOR]",PEB);
_asm
{
mov eax,fs:[30h];
mov ebx,[eax+08h];
mov PEB,ebx;
}
printf("ImageBaseAddress:0x%x\n",PEB);




getchar();

return 0;
}