PEB结构学习

一、什么是PEB结构（Process Envirorment Block Structure）

　　　　英文翻译过来就是进程环境信息块，这里包含了一写进程的信息。我接触到这个东西主要是在研究软件的保护技术的时候，有种保护技术会检测是否有调试器正在调试保护软件，然后需要获取是否被调试的消息，这个消息存储在PEB结构中.

二、PEB结构(可以去msdn官网查看原文)

　　　　msdn地址:https://msdn.microsoft.com/en-us/library/windows/desktop/aa813706(v=vs.85).aspx

　　　　可以看到PEB的结构如下图。

typedef struct _PEB { BYTE Reserved1[2]; BYTE BeingDebugged; //被调试状态 BYTE Reserved2[1]; PVOID Reserved3[2]; PPEB_LDR_DATA Ldr; PRTL_USER_PROCESS_PARAMETERS ProcessParameters; BYTE Reserved4[104]; PVOID Reserved5[52]; PPS_POST_PROCESS_INIT_ROUTINE PostProcessInitRoutine; BYTE Reserved6[128]; PVOID Reserved7[1]; ULONG SessionId; } PEB, *PPEB;

　　我们看到有很多的保留字，保留字我们不用去管，那个是留给系统处理的。所以一共只有4个关键字需要了解。

第一个，BYTE BeingDebugged //，这里就是记录程序的调试状态的，（1代表被调试，0代表没有被调试）

我们可以使用 BOOL WINAPI IsDebuggerPresent(void);这个函数来检测是否有调试器存在，返回非0值代表被调试，如果返回0代表没有被调试。

我们可以写一个小程序来实验一下。

#include <iostream> #include <vector> #include <string> #include <windows.h>

int main(int argc, char *argv[]) { bool status; status = IsDebuggerPresent(); if (status) { MessageBox(nullptr, "Detecting debugger", "Find Debugger", MB_OK); } else { MessageBox(nullptr, "Not detect debugger", "No Debugger", MB_OK); } return 0; }

处于被调试状态：

　　　　　　没有调试的：

76A9A720 64 A1 30 00 00 00 mov eax,dword ptr fs:[00000030h] //获取PEB结构基地址 76A9A726 0F B6 40 02 movzx eax,byte ptr [eax+2] //根据PEB结构，我们知道是取 76A9A72A C3 ret

我们现在继续观察这个程序，调试跟踪一下。PEB结构在TEB结构的0x30偏移的地方，也就是fs:[0x30]处可以取到PEB的基地址。

观察汇编代码，https://en.wikipedia.org/wiki/Win32_Thread_Information_Block，这里可以看到PEB的偏移地址

76A9A720 64 A1 30 00 00 00 mov eax,dword ptr fs:[00000030h] //获取PEB结构基地址 76A9A726 0F B6 40 02 movzx eax,byte ptr [eax+2] //根据PEB结构，我们知道这里是获取BeingDebugged的值