随手笔记02. 部分汇编代码,TEB,PEB,SEH - 精易论坛

子程序名	返回值类型	公开	备注
GetCurrentProcessNameW	整数型		取自进程名字, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 48, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+30h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetCurrentProcessFileNameW	整数型		取自进程完整路径, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 40, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+28h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
IsDebugger	逻辑型		进程是否被调试

置入代码 ({ 51, 192, 100, 139, 29, 48, 0, 0, 0, 138, 67, 2, 201, 195 })
' xor eax,eax
' mov ebx,dword ptr fs:[0x30h]
' mov al,byte ptr [ebx+2]
' leave
' ret
返回 (假)

子程序名	返回值类型	公开	备注
GetImageBaseAddress	整数型		取自身模块基址, GetModuleHandle(0) 一样

置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 8, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' mov eax,byte ptr [ebx+0x8h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetSEH	整数型		取SEH链指针

置入代码 ({ 100, 161, 0, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x0h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetThreadStackTop	整数型		取线程堆栈栈顶

置入代码 ({ 100, 161, 4, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x4h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetThreadStackBottom	整数型		取线程堆栈栈底

置入代码 ({ 100, 161, 8, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x8h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetSubSystemTib	整数型		取子系统Tib

置入代码 ({ 100, 161, 12, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0xCh]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetFiberData	整数型

置入代码 ({ 100, 161, 16, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x10h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetArbitraryUserPointer	整数型		取任意用户指针

置入代码 ({ 100, 161, 20, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x14h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetTEB	整数型		取TEB指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetPid	整数型		取自进程ID, GetCurrentProcessId

置入代码 ({ 100, 161, 32, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x20h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetTid	整数型		取当前线程ID, GetCurrentThreadId

置入代码 ({ 100, 161, 36, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x24h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetThreadAddress	整数型		指向线程局部存储指针

置入代码 ({ 100, 161, 44, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x2Ch]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetPEB	整数型		取PEB结构地址(进程结构)

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备注
GetPrevError	整数型		取上一个错误号

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)

.版本 2<br />
<br />
.子程序 GetCurrentProcessNameW, 整数型, , 取自进程名字, 返回Unicode进程名文本指针<br />
<br />
置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 48, 201, 195 })<br />
' mov eax,dword ptr fs:[0x18h]<br />
' mov eax,dword ptr [eax+30h]<br />
' mov eax,dword ptr [eax+0Ch]<br />
' mov eax,dword ptr [eax+0Ch]<br />
' mov eax,dword ptr [eax+30h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetCurrentProcessFileNameW, 整数型, , 取自进程完整路径, 返回Unicode进程名文本指针<br />
<br />
置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 40, 201, 195 })<br />
' mov eax,dword ptr fs:[0x18h]<br />
' mov eax,dword ptr [eax+30h]<br />
' mov eax,dword ptr [eax+0Ch]<br />
' mov eax,dword ptr [eax+0Ch]<br />
' mov eax,dword ptr [eax+28h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 IsDebugger, 逻辑型, , 进程是否被调试<br />
<br />
置入代码 ({ 51, 192, 100, 139, 29, 48, 0, 0, 0, 138, 67, 2, 201, 195 })<br />
' xor eax,eax<br />
' mov ebx,dword ptr fs:[0x30h]<br />
' mov al,byte ptr [ebx+2]<br />
' leave<br />
' ret<br />
返回 (假)<br />
<br />
.子程序 GetImageBaseAddress, 整数型, , 取自身模块基址, GetModuleHandle(0) 一样<br />
<br />
置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 8, 201, 195 })<br />
' mov eax,dword ptr fs:[0x30h]<br />
' mov eax,byte ptr [ebx+0x8h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetSEH, 整数型, , 取SEH链指针<br />
<br />
置入代码 ({ 100, 161, 0, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x0h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetThreadStackTop, 整数型, , 取线程堆栈栈顶<br />
<br />
置入代码 ({ 100, 161, 4, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x4h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetThreadStackBottom, 整数型, , 取线程堆栈栈底<br />
<br />
置入代码 ({ 100, 161, 8, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x8h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetSubSystemTib, 整数型, , 取子系统Tib<br />
<br />
置入代码 ({ 100, 161, 12, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0xCh]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetFiberData, 整数型<br />
<br />
置入代码 ({ 100, 161, 16, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x10h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetArbitraryUserPointer, 整数型, , 取任意用户指针<br />
<br />
置入代码 ({ 100, 161, 20, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x14h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetTEB, 整数型, , 取TEB指针<br />
<br />
置入代码 ({ 100, 161, 24, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x18h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetPid, 整数型, , 取自进程ID, GetCurrentProcessId<br />
<br />
置入代码 ({ 100, 161, 32, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x20h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetTid, 整数型, , 取当前线程ID, GetCurrentThreadId<br />
<br />
置入代码 ({ 100, 161, 36, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x24h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetThreadAddress, 整数型, , 指向线程局部存储指针<br />
<br />
置入代码 ({ 100, 161, 44, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x2Ch]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetPEB, 整数型, , 取PEB结构地址(进程结构)<br />
<br />
置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x30h]<br />
' leave<br />
' ret<br />
返回 (0)<br />
<br />
.子程序 GetPrevError, 整数型, , 取上一个错误号<br />
<br />
置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })<br />
' mov eax,dword ptr fs:[0x30h]<br />
' leave<br />
' ret<br />
返回 (0)