Windows進(jìn)程與線程學(xué)習(xí)筆記（一）—— 進(jìn)程結(jié)構(gòu)體

• • 進(jìn)程結(jié)構(gòu)體
  • • EPROCESS
    • • +0x000 Pcb : _KPROCESS
      • +0x1b0 Peb : Ptr32 _PEB
  • 練習(xí)
  • • 解題步驟
    • • 第一步：打開(kāi)一個(gè)進(jìn)程
      • 第二步：在任務(wù)管理器中找到相應(yīng)進(jìn)程
      • 第三步：在WinDbg中找到對(duì)應(yīng)進(jìn)程結(jié)構(gòu)體
      • 第四步：斷鏈
      • 第五步：再次查看任務(wù)管理器

進(jìn)程結(jié)構(gòu)體

EPROCESS

描述：

每個(gè)windows進(jìn)程在0環(huán)都有一個(gè)EPROCESS結(jié)構(gòu)體

這個(gè)結(jié)構(gòu)體包含了進(jìn)程所有的重要信息

在WinDbg中查看：

kd> dt _EPROCESS

ntdll!_EPROCESS+0x000 Pcb : _KPROCESS+0x06c ProcessLock : _EX_PUSH_LOCK+0x070 CreateTime : _LARGE_INTEGER+0x078 ExitTime : _LARGE_INTEGER+0x080 RundownProtect : _EX_RUNDOWN_REF+0x084 UniqueProcessId : Ptr32 Void+0x088 ActiveProcessLinks : _LIST_ENTRY+0x090 QuotaUsage : [3] Uint4B+0x09c QuotaPeak : [3] Uint4B+0x0a8 CommitCharge : Uint4B+0x0ac PeakVirtualSize : Uint4B+0x0b0 VirtualSize : Uint4B+0x0b4 SessionProcessLinks : _LIST_ENTRY+0x0bc DebugPort : Ptr32 Void+0x0c0 ExceptionPort : Ptr32 Void+0x0c4 ObjectTable : Ptr32 _HANDLE_TABLE+0x0c8 Token : _EX_FAST_REF+0x0cc WorkingSetLock : _FAST_MUTEX+0x0ec WorkingSetPage : Uint4B+0x0f0 AddressCreationLock : _FAST_MUTEX+0x110 HyperSpaceLock : Uint4B+0x114 ForkInProgress : Ptr32 _ETHREAD+0x118 HardwareTrigger : Uint4B+0x11c VadRoot : Ptr32 Void+0x120 VadHint : Ptr32 Void+0x124 CloneRoot : Ptr32 Void+0x128 NumberOfPrivatePages : Uint4B+0x12c NumberOfLockedPages : Uint4B+0x130 Win32Process : Ptr32 Void+0x134 Job : Ptr32 _EJOB+0x138 SectionObject : Ptr32 Void+0x13c SectionBaseAddress : Ptr32 Void+0x140 QuotaBlock : Ptr32 _EPROCESS_QUOTA_BLOCK+0x144 WorkingSetWatch : Ptr32 _PAGEFAULT_HISTORY+0x148 Win32WindowStation : Ptr32 Void+0x14c InheritedFromUniqueProcessId : Ptr32 Void+0x150 LdtInformation : Ptr32 Void+0x154 VadFreeHint : Ptr32 Void+0x158 VdmObjects : Ptr32 Void+0x15c DeviceMap : Ptr32 Void+0x160 PhysicalVadList : _LIST_ENTRY+0x168 PageDirectoryPte : _HARDWARE_PTE_X86+0x168 Filler : Uint8B+0x170 Session : Ptr32 Void+0x174 ImageFileName : [16] UChar+0x184 JobLinks : _LIST_ENTRY+0x18c LockedPagesList : Ptr32 Void+0x190 ThreadListHead : _LIST_ENTRY+0x198 SecurityPort : Ptr32 Void+0x19c PaeTop : Ptr32 Void+0x1a0 ActiveThreads : Uint4B+0x1a4 GrantedAccess : Uint4B+0x1a8 DefaultHardErrorProcessing : Uint4B+0x1ac LastThreadExitStatus : Int4B+0x1b0 Peb : Ptr32 _PEB+0x1b4 PrefetchTrace : _EX_FAST_REF+0x1b8 ReadOperationCount : _LARGE_INTEGER+0x1c0 WriteOperationCount : _LARGE_INTEGER+0x1c8 OtherOperationCount : _LARGE_INTEGER+0x1d0 ReadTransferCount : _LARGE_INTEGER+0x1d8 WriteTransferCount : _LARGE_INTEGER+0x1e0 OtherTransferCount : _LARGE_INTEGER+0x1e8 CommitChargeLimit : Uint4B+0x1ec CommitChargePeak : Uint4B+0x1f0 AweInfo : Ptr32 Void+0x1f4 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO+0x1f8 Vm : _MMSUPPORT+0x238 LastFaultCount : Uint4B+0x23c ModifiedPageCount : Uint4B+0x240 NumberOfVads : Uint4B+0x244 JobStatus : Uint4B+0x248 Flags : Uint4B+0x248 CreateReported : Pos 0, 1 Bit+0x248 NoDebugInherit : Pos 1, 1 Bit+0x248 ProcessExiting : Pos 2, 1 Bit+0x248 ProcessDelete : Pos 3, 1 Bit+0x248 Wow64SplitPages : Pos 4, 1 Bit+0x248 VmDeleted : Pos 5, 1 Bit+0x248 OutswapEnabled : Pos 6, 1 Bit+0x248 Outswapped : Pos 7, 1 Bit+0x248 ForkFailed : Pos 8, 1 Bit+0x248 HasPhysicalVad : Pos 9, 1 Bit+0x248 AddressSpaceInitialized : Pos 10, 2 Bits+0x248 SetTimerResolution : Pos 12, 1 Bit+0x248 BreakOnTermination : Pos 13, 1 Bit+0x248 SessionCreationUnderway : Pos 14, 1 Bit+0x248 WriteWatch : Pos 15, 1 Bit+0x248 ProcessInSession : Pos 16, 1 Bit+0x248 OverrideAddressSpace : Pos 17, 1 Bit+0x248 HasAddressSpace : Pos 18, 1 Bit+0x248 LaunchPrefetched : Pos 19, 1 Bit+0x248 InjectInpageErrors : Pos 20, 1 Bit+0x248 VmTopDown : Pos 21, 1 Bit+0x248 Unused3 : Pos 22, 1 Bit+0x248 Unused4 : Pos 23, 1 Bit+0x248 VdmAllowed : Pos 24, 1 Bit+0x248 Unused : Pos 25, 5 Bits+0x248 Unused1 : Pos 30, 1 Bit+0x248 Unused2 : Pos 31, 1 Bit+0x24c ExitStatus : Int4B+0x250 NextPageColor : Uint2B+0x252 SubSystemMinorVersion : UChar+0x253 SubSystemMajorVersion : UChar+0x252 SubSystemVersion : Uint2B+0x254 PriorityClass : UChar+0x255 WorkingSetAcquiredUnsafe : UChar+0x258 Cookie : Uint4B

CreateTime：記錄當(dāng)前進(jìn)程何時(shí)創(chuàng)建

ExitTime：記錄當(dāng)前進(jìn)程何時(shí)退出

UniqueProcessId：存儲(chǔ)進(jìn)程PID

AtiveProcessLinks：

雙向鏈表：所有的活動(dòng)進(jìn)程都連接在一起，構(gòu)成了一個(gè)鏈表

PsActiveProcessHead指向全局鏈表頭

第一個(gè)成員指向后一個(gè)進(jìn)程結(jié)構(gòu)體，第二個(gè)成員指向前一個(gè)進(jìn)程結(jié)構(gòu)體

注意：指向的位置是進(jìn)程結(jié)構(gòu)體的AtiveProcessLinks成員，需要手動(dòng)調(diào)整偏移

QuotaUsage&QuotaPeak：物理頁(yè)相關(guān)統(tǒng)計(jì)信息

CommitCharge/PeakVirtualSize/VirtualSize：虛擬內(nèi)存相關(guān)統(tǒng)計(jì)信息

VadRoot：標(biāo)識(shí)0-2G哪些地址被占用了

DebugPort&ExceptionPort：調(diào)試相關(guān)

ObjectTable：

句柄表，記錄了被使用句柄的地址

可以通過(guò)遍歷句柄表查看哪些進(jìn)程調(diào)用了某個(gè)句柄，從而達(dá)到反調(diào)試的目的

ImageFileName：進(jìn)程鏡像文件名，最多16個(gè)字節(jié)

ActiveThreads：活動(dòng)線程的數(shù)量

Peb：

全稱(chēng)：Process Environment Block（進(jìn)程環(huán)境塊）

進(jìn)程在3環(huán)的一個(gè)結(jié)構(gòu)體，里面包含了進(jìn)程的模塊列表、是否處于調(diào)試狀態(tài)等信息

詳情參考潘愛(ài)民老師《Windows內(nèi)核原理與實(shí)現(xiàn)》第三章

+0x000 Pcb : _KPROCESS

描述：EPROCESS結(jié)構(gòu)體成員之一

結(jié)構(gòu)體：

Header：

可等待對(duì)象，可以作為 WaitForSingleObject 等類(lèi)似函數(shù)的參數(shù)

常用于Mutex互斥體，Event事件等

DirectoryTableBase：

頁(yè)目錄表基址，一個(gè)進(jìn)程結(jié)構(gòu)體中最重要的成員

控制了頁(yè)目錄表，就相當(dāng)于控制了所有的物理頁(yè)

它存儲(chǔ)的值就是Cr3的值

KernelTime：進(jìn)程在0環(huán)運(yùn)行的時(shí)間

UserTime：進(jìn)程在3環(huán)運(yùn)行的時(shí)間

Affinity：

規(guī)定進(jìn)程里面的所有線程能在哪個(gè)CPU上跑，如果值為1，那這個(gè)進(jìn)程的所以線程只能在0號(hào)CPU上跑(00000001)

如果值為3，那這個(gè)進(jìn)程的所以線程能在0、1號(hào)CPU上跑(000000011)

如果值為4，那這個(gè)進(jìn)程的所以線程能在2號(hào)CPU上跑(000000100)

如果值為5，那這個(gè)進(jìn)程的所以線程能在0、2號(hào)CPU上跑(000000101)

4個(gè)字節(jié)共32位，所以最多32核；如果是Windows64位，最多64核

如果只有一個(gè)CPU 把這個(gè)設(shè)置為4，那么這個(gè)進(jìn)程就死了

BasePriority：基礎(chǔ)優(yōu)先級(jí)或最低優(yōu)先級(jí)，該進(jìn)程中的所有線程最起碼的優(yōu)先級(jí)

+0x1b0 Peb : Ptr32 _PEB

描述：

EPROCESS結(jié)構(gòu)體成員之一

全稱(chēng)：Process Environment Block（進(jìn)程環(huán)境塊）

進(jìn)程在3環(huán)的一個(gè)結(jié)構(gòu)體，里面包含了進(jìn)程的模塊列表、是否處于調(diào)試狀態(tài)等信息

詳情參考潘愛(ài)民老師《Windows內(nèi)核原理與實(shí)現(xiàn)》第三章

在WinDbg中查看：

kd>dt _PEB

ntdll!_PEB+0x000 InheritedAddressSpace : UChar+0x001 ReadImageFileExecOptions : UChar+0x002 BeingDebugged : UChar+0x003 SpareBool : UChar+0x004 Mutant : Ptr32 Void+0x008 ImageBaseAddress : Ptr32 Void+0x00c Ldr : Ptr32 _PEB_LDR_DATA+0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS+0x014 SubSystemData : Ptr32 Void+0x018 ProcessHeap : Ptr32 Void+0x01c FastPebLock : Ptr32 _RTL_CRITICAL_SECTION+0x020 FastPebLockRoutine : Ptr32 Void+0x024 FastPebUnlockRoutine : Ptr32 Void+0x028 EnvironmentUpdateCount : Uint4B+0x02c KernelCallbackTable : Ptr32 Void+0x030 SystemReserved : [1] Uint4B+0x034 AtlThunkSListPtr32 : Uint4B+0x038 FreeList : Ptr32 _PEB_FREE_BLOCK+0x03c TlsExpansionCounter : Uint4B+0x040 TlsBitmap : Ptr32 Void+0x044 TlsBitmapBits : [2] Uint4B+0x04c ReadOnlySharedMemoryBase : Ptr32 Void+0x050 ReadOnlySharedMemoryHeap : Ptr32 Void+0x054 ReadOnlyStaticServerData : Ptr32 Ptr32 Void+0x058 AnsiCodePageData : Ptr32 Void+0x05c OemCodePageData : Ptr32 Void+0x060 UnicodeCaseTableData : Ptr32 Void+0x064 NumberOfProcessors : Uint4B+0x068 NtGlobalFlag : Uint4B+0x070 CriticalSectionTimeout : _LARGE_INTEGER+0x078 HeapSegmentReserve : Uint4B+0x07c HeapSegmentCommit : Uint4B+0x080 HeapDeCommitTotalFreeThreshold : Uint4B+0x084 HeapDeCommitFreeBlockThreshold : Uint4B+0x088 NumberOfHeaps : Uint4B+0x08c MaximumNumberOfHeaps : Uint4B+0x090 ProcessHeaps : Ptr32 Ptr32 Void+0x094 GdiSharedHandleTable : Ptr32 Void+0x098 ProcessStarterHelper : Ptr32 Void+0x09c GdiDCAttributeList : Uint4B+0x0a0 LoaderLock : Ptr32 Void+0x0a4 OSMajorVersion : Uint4B+0x0a8 OSMinorVersion : Uint4B+0x0ac OSBuildNumber : Uint2B+0x0ae OSCSDVersion : Uint2B+0x0b0 OSPlatformId : Uint4B+0x0b4 ImageSubsystem : Uint4B+0x0b8 ImageSubsystemMajorVersion : Uint4B+0x0bc ImageSubsystemMinorVersion : Uint4B+0x0c0 ImageProcessAffinityMask : Uint4B+0x0c4 GdiHandleBuffer : [34] Uint4B+0x14c PostProcessInitRoutine : Ptr32 void +0x150 TlsExpansionBitmap : Ptr32 Void+0x154 TlsExpansionBitmapBits : [32] Uint4B+0x1d4 SessionId : Uint4B+0x1d8 AppCompatFlags : _ULARGE_INTEGER+0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER+0x1e8 pShimData : Ptr32 Void+0x1ec AppCompatInfo : Ptr32 Void+0x1f0 CSDVersion : _UNICODE_STRING+0x1f8 ActivationContextData : Ptr32 Void+0x1fc ProcessAssemblyStorageMap : Ptr32 Void+0x200 SystemDefaultActivationContextData : Ptr32 Void+0x204 SystemAssemblyStorageMap : Ptr32 Void+0x208 MinimumStackCommit : Uint4B

BeingDebugged：若進(jìn)程處于被調(diào)試狀態(tài)，置1

Ldr：_PEB_LDR_DATA結(jié)構(gòu)體

在WinDbg中查看：

kd>dt _PEB_LDR_DATA

ntdll!_PEB_LDR_DATA+0x000 Length : Uint4B+0x004 Initialized : UChar+0x008 SsHandle : Ptr32 Void+0x00c InLoadOrderModuleList : _LIST_ENTRY 模塊加載的順序+0x014 InMemoryOrderModuleList : _LIST_ENTRY 模塊在內(nèi)存中的順序+0x01c InInitializationOrderModuleList : _LIST_ENTRY 模塊初始化的順序: 斷掉這三個(gè)鏈表可以達(dá)到模塊隱藏的目的+0x024 EntryInProgress : Ptr32 Void

練習(xí)

要求：對(duì)進(jìn)程進(jìn)行斷鏈

解題步驟

第一步：打開(kāi)一個(gè)進(jìn)程

例：記事本（notepad.exe）

第二步：在任務(wù)管理器中找到相應(yīng)進(jìn)程

第三步：在WinDbg中找到對(duì)應(yīng)進(jìn)程結(jié)構(gòu)體

注意：由于進(jìn)程和任務(wù)管理器是最后打開(kāi)的，因此極可能在鏈表最后一個(gè)位置，因此建議從后往前找

前一個(gè) EPROCESS 地址：0x8619f0a8 - 0x88
后一個(gè) EPROCESS 地址：0x860000a8 - 0x88

第四步：斷鏈

將前一個(gè)節(jié)點(diǎn)->next值改為 0x860000a8

kd>ed 8619f0a8 860000a8

將后一個(gè)節(jié)點(diǎn)->pre值改為 0x8619f0a8

kd>ed 860000a8+4 8619f0a8

第五步：再次查看任務(wù)管理器

此時(shí)在任務(wù)管理器的進(jìn)程列表中已經(jīng)找不到notepad.exe

總結(jié)

以上是生活随笔為你收集整理的Windows进程与线程学习笔记（一）—— 进程结构体的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。