보안/분석

struct _PEB for XP

NineKY 2008. 3. 26. 10:59

 kd> dt nt!_peb
nt!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 SpareBool        : UChar
   +0x004 Mutant           : Ptr32 Void
   +0x008 ImageBaseAddress : Ptr32 Void
   +0x00c Ldr              : Ptr32 _PEB_LDR_DATA
  +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS
   +0x014 SubSystemData    : Ptr32 Void
   +0x018 ProcessHeap      : Ptr32 Void
   +0x01c FastPebLock      : Ptr32 _RTL_CRITICAL_SECTION
   +0x020 FastPebLockRoutine : Ptr32 Void
   +0x024 FastPebUnlockRoutine : Ptr32 Void
   +0x028 EnvironmentUpdateCount : Uint4B
   +0x02c KernelCallbackTable : Ptr32 Void
   +0x030 SystemReserved   : [1] Uint4B
   +0x034 AtlThunkSListPtr32 : Uint4B
   +0x038 FreeList         : Ptr32 _PEB_FREE_BLOCK
   +0x03c TlsExpansionCounter : Uint4B
   +0x040 TlsBitmap        : Ptr32 Void
   +0x044 TlsBitmapBits    : [2] Uint4B
   +0x04c ReadOnlySharedMemoryBase : Ptr32 Void
   +0x050 ReadOnlySharedMemoryHeap : Ptr32 Void
   +0x054 ReadOnlyStaticServerData : Ptr32 Ptr32 Void
   +0x058 AnsiCodePageData : Ptr32 Void
   +0x05c OemCodePageData  : Ptr32 Void
   +0x060 UnicodeCaseTableData : Ptr32 Void
   +0x064 NumberOfProcessors : Uint4B
   +0x068 NtGlobalFlag     : Uint4B
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER
   +0x078 HeapSegmentReserve : Uint4B
   +0x07c HeapSegmentCommit : Uint4B
   +0x080 HeapDeCommitTotalFreeThreshold : Uint4B
   +0x084 HeapDeCommitFreeBlockThreshold : Uint4B
   +0x088 NumberOfHeaps    : Uint4B
   +0x08c MaximumNumberOfHeaps : Uint4B
   +0x090 ProcessHeaps     : Ptr32 Ptr32 Void
   +0x094 GdiSharedHandleTable : Ptr32 Void
   +0x098 ProcessStarterHelper : Ptr32 Void
   +0x09c GdiDCAttributeList : Uint4B
   +0x0a0 LoaderLock       : Ptr32 Void
   +0x0a4 OSMajorVersion   : Uint4B
   +0x0a8 OSMinorVersion   : Uint4B
   +0x0ac OSBuildNumber    : Uint2B
   +0x0ae OSCSDVersion     : Uint2B
   +0x0b0 OSPlatformId     : Uint4B
   +0x0b4 ImageSubsystem   : Uint4B
   +0x0b8 ImageSubsystemMajorVersion : Uint4B
   +0x0bc ImageSubsystemMinorVersion : Uint4B
   +0x0c0 ImageProcessAffinityMask : Uint4B
   +0x0c4 GdiHandleBuffer  : [34] Uint4B
   +0x14c PostProcessInitRoutine : Ptr32     void
   +0x150 TlsExpansionBitmap : Ptr32 Void
   +0x154 TlsExpansionBitmapBits : [32] Uint4B
   +0x1d4 SessionId        : Uint4B
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER
   +0x1e8 pShimData        : Ptr32 Void
   +0x1ec AppCompatInfo    : Ptr32 Void
   +0x1f0 CSDVersion       : _UNICODE_STRING
   +0x1f8 ActivationContextData : Ptr32 Void
   +0x1fc ProcessAssemblyStorageMap : Ptr32 Void
   +0x200 SystemDefaultActivationContextData : Ptr32 Void
   +0x204 SystemAssemblyStorageMap : Ptr32 Void
   +0x208 MinimumStackCommit : Uint4B

 

>> http://msdn2.microsoft.com/en-us/library/aa813706(VS.85).aspx

typedef struct _PEB {
  BYTE Reserved1[2];
  BYTE BeingDebugged;
  BYTE Reserved2[1];
  PVOID Reserved3[2];
  PPEB_LDR_DATA Ldr;
  PRTL_USER_PROCESS_PARAMETERS ProcessParameters;
  BYTE Reserved4[104];
  PVOID Reserved5[52];
  PPS_POST_PROCESS_INIT_ROUTINE PostProcessInitRoutine;
  BYTE Reserved6[128];
  PVOID Reserved7[1];
  ULONG SessionId;

} PEB,

*PPEB;

 

>> http://undocumented.ntinternals.net/UserMode/Undocumented%20Functions/NT%20Objects/Process/PEB.html

typedef struct _PEB {

  BOOLEAN                 InheritedAddressSpace;

  BOOLEAN                 ReadImageFileExecOptions;

  BOOLEAN                 BeingDebugged;

  BOOLEAN                 Spare;

  HANDLE                  Mutant;

  PVOID                   ImageBaseAddress;

  PPEB_LDR_DATA           LoaderData;

  PRTL_USER_PROCESS_PARAMETERS ProcessParameters;

  PVOID                   SubSystemData;

  PVOID                   ProcessHeap;

  PVOID                   FastPebLock;

  PPEBLOCKROUTINE         FastPebLockRoutine;

  PPEBLOCKROUTINE         FastPebUnlockRoutine;

  ULONG                   EnvironmentUpdateCount;

  PPVOID                  KernelCallbackTable;

  PVOID                   EventLogSection;

  PVOID                   EventLog;

  PPEB_FREE_BLOCK         FreeList;

  ULONG                   TlsExpansionCounter;

  PVOID                   TlsBitmap;

  ULONG                   TlsBitmapBits[0x2];

  PVOID                   ReadOnlySharedMemoryBase;

  PVOID                   ReadOnlySharedMemoryHeap;

  PPVOID                  ReadOnlyStaticServerData;

  PVOID                   AnsiCodePageData;

  PVOID                   OemCodePageData;

  PVOID                   UnicodeCaseTableData;

  ULONG                   NumberOfProcessors;

  ULONG                   NtGlobalFlag;

  BYTE                    Spare2[0x4];

  LARGE_INTEGER           CriticalSectionTimeout;

  ULONG                   HeapSegmentReserve;

  ULONG                   HeapSegmentCommit;

  ULONG                   HeapDeCommitTotalFreeThreshold;

  ULONG                   HeapDeCommitFreeBlockThreshold;

  ULONG                   NumberOfHeaps;

  ULONG                   MaximumNumberOfHeaps;

  PPVOID                  *ProcessHeaps;

  PVOID                   GdiSharedHandleTable;

  PVOID                   ProcessStarterHelper;

  PVOID                   GdiDCAttributeList;

  PVOID                   LoaderLock;

  ULONG                   OSMajorVersion;

  ULONG                   OSMinorVersion;

  ULONG                   OSBuildNumber;

  ULONG                   OSPlatformId;

  ULONG                   ImageSubSystem;

  ULONG                   ImageSubSystemMajorVersion;

  ULONG                   ImageSubSystemMinorVersion;

  ULONG                   GdiHandleBuffer[0x22];

  ULONG                   PostProcessInitRoutine;

  ULONG                   TlsExpansionBitmap;

  BYTE                    TlsExpansionBitmapBits[0x80];

  ULONG                   SessionId;

} PEB, *PPEB;