部分汇编代码TEB、PEB、SEH随手笔记

.子程序 GetCurrentProcessNameW, 整数型, , 取自进程名字, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 48, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+30h]
' leave
' ret
返回 (0)

.子程序 GetCurrentProcessFileNameW, 整数型, , 取自进程完整路径, 返回Unicode进程名文本指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 139, 64, 48, 139, 64, 12, 139, 64, 12, 139, 64, 40, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' mov eax,dword ptr [eax+30h]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+0Ch]
' mov eax,dword ptr [eax+28h]
' leave
' ret
返回 (0)

.子程序 IsDebugger, 逻辑型, , 进程是否被调试

置入代码 ({ 51, 192, 100, 139, 29, 48, 0, 0, 0, 138, 67, 2, 201, 195 })
' xor eax,eax
' mov ebx,dword ptr fs:[0x30h]
' mov al,byte ptr [ebx+2]
' leave
' ret
返回 (假)

.子程序 GetImageBaseAddress, 整数型, , 取自身模块基址, GetModuleHandle(0) 一样

置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 8, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' mov eax,byte ptr [ebx+0x8h]
' leave
' ret
返回 (0)

.子程序 GetSEH, 整数型, , 取SEH链指针

置入代码 ({ 100, 161, 0, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x0h]
' leave
' ret
返回 (0)

.子程序 GetThreadStackTop, 整数型, , 取线程堆栈栈顶

置入代码 ({ 100, 161, 4, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x4h]
' leave
' ret
返回 (0)

.子程序 GetThreadStackBottom, 整数型, , 取线程堆栈栈底

置入代码 ({ 100, 161, 8, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x8h]
' leave
' ret
返回 (0)

.子程序 GetSubSystemTib, 整数型, , 取子系统Tib

置入代码 ({ 100, 161, 12, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0xCh]
' leave
' ret
返回 (0)

.子程序 GetFiberData, 整数型

置入代码 ({ 100, 161, 16, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x10h]
' leave
' ret
返回 (0)

.子程序 GetArbitraryUserPointer, 整数型, , 取任意用户指针

置入代码 ({ 100, 161, 20, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x14h]
' leave
' ret
返回 (0)

.子程序 GetTEB, 整数型, , 取TEB指针

置入代码 ({ 100, 161, 24, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x18h]
' leave
' ret
返回 (0)

.子程序 GetPid, 整数型, , 取自进程ID, GetCurrentProcessId

置入代码 ({ 100, 161, 32, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x20h]
' leave
' ret
返回 (0)

.子程序 GetTid, 整数型, , 取当前线程ID, GetCurrentThreadId

置入代码 ({ 100, 161, 36, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x24h]
' leave
' ret
返回 (0)

.子程序 GetThreadAddress, 整数型, , 指向线程局部存储指针

置入代码 ({ 100, 161, 44, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x2Ch]
' leave
' ret
返回 (0)

.子程序 GetPEB, 整数型, , 取PEB结构地址(进程结构)

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)

.子程序 GetPrevError, 整数型, , 取上一个错误号

置入代码 ({ 100, 161, 48, 0, 0, 0, 201, 195 })
' mov eax,dword ptr fs:[0x30h]
' leave
' ret
返回 (0)