随手笔记02. 部分汇编代码,TEB,PEB,SEH

福仔

  

子程序名	返回值类型	公开	备 注
GetCurrentProcessNameW	整数型		取自进程名字, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 48, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+30h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetCurrentProcessFileNameW	整数型		取自进程完整路径, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 40, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+28h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
IsDebugger	逻辑型		进程是否被调试

置入代码 ({ 51, 192, 100, 139, 29, 48, 0, 0, 0, 138, 67, 2, 201, 195 })
' xor eax,eax
' mov ebx,dword ptr fs:[0x30h]
' mov al,byte ptr [ebx+2]
' leave
' ret
返回 (假)

子程序名	返回值类型	公开	备 注
GetImageBaseAddress	整数型		取自身模块基址, GetModuleHandle(0) 一样

置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 8, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' mov eax,byte ptr [ebx+0x8h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetSEH	整数型		取SEH链指针

置入代码 ({ 100, 161, 0, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x0h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetThreadStackTop	整数型		取线程堆栈栈顶

置入代码 ({ 100, 161, 4, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x4h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetThreadStackBottom	整数型		取线程堆栈栈底

置入代码 ({ 100, 161, 8, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x8h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetSubSystemTib	整数型		取子系统Tib

置入代码 ({ 100, 161, 12, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0xCh]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetFiberData	整数型

置入代码 ({ 100, 161, 16, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x10h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetArbitraryUserPointer	整数型		取任意用户指针

置入代码 ({ 100, 161, 20, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x14h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetTEB	整数型		取TEB指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetPid	整数型		取自进程ID, GetCurrentProcessId

置入代码 ({ 100, 161, 32, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x20h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetTid	整数型		取当前线程ID, GetCurrentThreadId

置入代码 ({ 100, 161, 36, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x24h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetThreadAddress	整数型		指向线程局部存储指针

置入代码 ({ 100, 161, 44, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x2Ch]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetPEB	整数型		取PEB结构地址(进程结构)

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)

子程序名	返回值类型	公开	备 注
GetPrevError	整数型		取上一个错误号

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)

.版本 2<br /> <br /> .子程序 GetCurrentProcessNameW, 整数型, , 取自进程名字, 返回Unicode进程名文本指针<br /> <br /> 置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 48, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x18h]<br /> ' mov eax,dword ptr [eax+30h]<br /> ' mov eax,dword ptr [eax+0Ch]<br /> ' mov eax,dword ptr [eax+0Ch]<br /> ' mov eax,dword ptr [eax+30h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetCurrentProcessFileNameW, 整数型, , 取自进程完整路径, 返回Unicode进程名文本指针<br /> <br /> 置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 40, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x18h]<br /> ' mov eax,dword ptr [eax+30h]<br /> ' mov eax,dword ptr [eax+0Ch]<br /> ' mov eax,dword ptr [eax+0Ch]<br /> ' mov eax,dword ptr [eax+28h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 IsDebugger, 逻辑型, , 进程是否被调试<br /> <br /> 置入代码 ({ 51, 192, 100, 139, 29, 48, 0, 0, 0, 138, 67, 2, 201, 195 })<br /> ' xor eax,eax<br /> ' mov ebx,dword ptr fs:[0x30h]<br /> ' mov al,byte ptr [ebx+2]<br /> ' leave<br /> ' ret<br /> 返回 (假)<br /> <br /> .子程序 GetImageBaseAddress, 整数型, , 取自身模块基址, GetModuleHandle(0) 一样<br /> <br /> 置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 8, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x30h]<br /> ' mov eax,byte ptr [ebx+0x8h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetSEH, 整数型, , 取SEH链指针<br /> <br /> 置入代码 ({ 100, 161, 0, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x0h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetThreadStackTop, 整数型, , 取线程堆栈栈顶<br /> <br /> 置入代码 ({ 100, 161, 4, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x4h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetThreadStackBottom, 整数型, , 取线程堆栈栈底<br /> <br /> 置入代码 ({ 100, 161, 8, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x8h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetSubSystemTib, 整数型, , 取子系统Tib<br /> <br /> 置入代码 ({ 100, 161, 12, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0xCh]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetFiberData, 整数型<br /> <br /> 置入代码 ({ 100, 161, 16, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x10h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetArbitraryUserPointer, 整数型, , 取任意用户指针<br /> <br /> 置入代码 ({ 100, 161, 20, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x14h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetTEB, 整数型, , 取TEB指针<br /> <br /> 置入代码 ({ 100, 161, 24, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x18h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetPid, 整数型, , 取自进程ID, GetCurrentProcessId<br /> <br /> 置入代码 ({ 100, 161, 32, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x20h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetTid, 整数型, , 取当前线程ID, GetCurrentThreadId<br /> <br /> 置入代码 ({ 100, 161, 36, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x24h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetThreadAddress, 整数型, , 指向线程局部存储指针<br /> <br /> 置入代码 ({ 100, 161, 44, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x2Ch]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetPEB, 整数型, , 取PEB结构地址(进程结构)<br /> <br /> 置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x30h]<br /> ' leave<br /> ' ret<br /> 返回 (0)<br /> <br /> .子程序 GetPrevError, 整数型, , 取上一个错误号<br /> <br /> 置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })<br /> ' mov eax,dword ptr fs:[0x30h]<br /> ' leave<br /> ' ret<br /> 返回 (0)

1369469202

支持....

hmyroot

牛 逼，相当于操 作C P U指 令

hmyroot

牛逼，相当于操作CPU指令

ujff77

这个来支持一下啊

uuuc

这个来支持一下啊

kentfung

这个厉害啊，谢谢分享

315215

这种有什么用的？

283688410

谢谢楼主分享

wjswzj0

感谢楼主分享