[英]How to get the Process Environment Block (PEB) address using assembler (x64 OS)?
我正在尝试使用汇编程序获取当前进程的 PEB 地址。
cpp文件:
#include <iostream>
//#include <windows.h>
extern "C" int* __ptr64 Get_Ldr_Addr();
int main(int argc, char **argv)
{
std::cout << "asm " << Get_Ldr_Addr() << "\n";
//std::cout <<"peb "<< GetModuleHandle(0) << "\n";
return 0;
}
asm 文件:
.code
Get_Ldr_Addr proc
push rax
mov rax, GS:[30h]
mov rax, [rax + 60h]
pop rax
ret
Get_Ldr_Addr endp
end
但是我从 GetModuleHandle(0) 和 Get_Ldr_Addr() 得到了不同的地址!
问题是什么? 不应该是一样的吗?
问:如果函数是外部函数,它会检查调用它的进程的PEB或函数的dll(假设是一个dll)?
Tnx
如果您不介意C.可以在Microsoft Visual Studio 2015中使用。使用内在的“ __readgsqword()”。
#include <winnt.h>
#include <winternl.h>
// Thread Environment Block (TEB)
#if defined(_M_X64) // x64
PTEB tebPtr = reinterpret_cast<PTEB>(__readgsqword(reinterpret_cast<DWORD_PTR>(&static_cast<NT_TIB*>(nullptr)->Self)));
#else // x86
PTEB tebPtr = reinterpret_cast<PTEB>(__readfsdword(reinterpret_cast<DWORD_PTR>(&static_cast<NT_TIB*>(nullptr)->Self)));
#endif
// Process Environment Block (PEB)
PPEB pebPtr = tebPtr->ProcessEnvironmentBlock;
仅两个评论。
不需要推送/弹出rax
因为它是Windows上的临时寄存器或易失性寄存器,请参阅调用者/被调用者保存的寄存器 。 特别是, rax
将保存函数的返回值。
当您调用GetModuleHandle()并将其与您自己的汇编代码进行比较时,通常有助于单步执行机器代码。 您可能会遇到类似这样的实现 。
Get_Ldr_Addr没有保存您的结果。
您不应该通过推和弹出来保护rax,因为rax是返回值
我喜欢 Sirmabus 的回答,但我更喜欢简单的 C 强制转换和 offsetof 宏:
PPEB get_peb()
{
#if defined(_M_X64) // x64
PTEB tebPtr = (PTEB)__readgsqword(offsetof(NT_TIB, Self));
#else // x86
PTEB tebPtr = (PTEB)__readfsdword(offsetof(NT_TIB, Self));
#endif
return tebPtr->ProcessEnvironmentBlock;
}
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.