Windows? Я читал статьи, например там чтобы получить PEB в eax делают так mov eax, [fs:0x30] Где они берут смещение и почему именно в fs содержится PEB непонятно.
https://docs.microsoft.com/en-us/windows/win32/api/winternl/ns-winternl-peb
https://habr.com/ru/post/187226/
просто дескриптор сегмента, селектор которого находится в fs/gs, указывает на начало этих таблиц, их задаёт сама ОС, а смещение, не могу точно сказать, либо где-то в документации есть описание структуры, либо это выяснили путём реверса
Было бы неплохо почитать что в этом сегменте хранится ещё помимо PEB
оно всё хранится в памяти твоего процесса
просто сегмент хранит смещение самой таблицы в адресном пространстве самого процесса, что позволяет довольно легко обращаться к этим данным из любого места в программе
да, скорее всего peb искали реверс-инжинирингом
Обсуждают сегодня