如何使用汇编程序（x64操作系统）获取进程环境块（PEB）地址？

我正试图用汇编程序获取当前进程的PEB地址

cpp文件：

#包括&lt；iostream&gt；
//#包括&lt；windows.h&gt；
外部“C”int*uu ptr64 Get_Ldr_Addr（）；
int main（int argc，字符**argv）
{
std:：cout&lt；&lt；“asm”&lt；&lt；Get\u Ldr\u Addr（）&lt；&lt；“\n”；
//标准：：cout&lt；&lt；“peb”&lt；&lt；GetModuleHandle（0）&lt；&lt；“\n”；
返回0；
}

asm文件：

.code
获取\u Ldr\u Addr proc
推拉
移动速度、加速度：[30小时]
移动速度rax，[rax+60小时]
波普雷克斯
ret
获取\u Ldr\u Addr endp
终止

但是我从GetModuleHandle（0）和get\u Ldr\u Addr（）中得到了不同的地址

有什么问题？难道不应该是一样的吗

问：如果函数是外部的，它将检查调用它的进程的PEB或函数的dll（假定为dll）

Tnx

如果您不介意的话，C.在Microsoft Visual Studio 2015中工作。
使用“\uuuu readgsqword（）”内在函数

#包括&lt；温特·h&gt；
#包括&lt；温特恩尔h&gt；
//线程环境块（TEB）
#如果已定义（_M_X64）//X64
PTEB tebPtr=重新解释铸件&lt；PTEB&gt；（uu readgsqword（重新解释\uu cast&lt；DWORD\uptr&gt；（&amp；static\uu cast&lt；NT\utib*&gt；（nullptr）-&gt；Self）））；
#else//x86
PTEB tebPtr=重新解释铸件&lt；PTEB&gt；（uu readfsdword（重新解释u cast&lt；DWORD_PTR&gt；（&amp；static u cast&lt；NT TIB*&gt；（nullptr）——&gt；Self）））；
#恩迪夫
//过程环境块（PEB）
PPEB pebPtr=tebPtr-&gt；处理环境块；

相关文章：

发表评论 取消回复

发表评论取消回复