TEB

45 阅读 0 评论 30 点赞

我是靠谱客的博主高大缘分，最近开发中收集的这篇文章主要介绍TEB，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

TEB指线程环境块，该结构体包含进程中运行线程的各种信息，进程中的每个线程都对应一个TEB结构体。
Windows7中的TEB结构体成员。

   +0x000 NtTib            : _NT_TIB
   +0x01c EnvironmentPointer : Ptr32 Void
   +0x020 ClientId         : _CLIENT_ID                        //进程的pid
   +0x028 ActiveRpcHandle  : Ptr32 Void
   +0x02c ThreadLocalStoragePointer : Ptr32 Void
   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB                 //进程PEB
   +0x034 LastErrorValue   : Uint4B
   +0x038 CountOfOwnedCriticalSections : Uint4B
   +0x03c CsrClientThread  : Ptr32 Void
   +0x040 Win32ThreadInfo  : Ptr32 Void
   +0x044 User32Reserved   : [26] Uint4B
   +0x0ac UserReserved     : [5] Uint4B
   +0x0c0 WOW32Reserved    : Ptr32 Void
   +0x0c4 CurrentLocale    : Uint4B
   +0x0c8 FpSoftwareStatusRegister : Uint4B
   +0x0cc SystemReserved1  : [54] Ptr32 Void
   +0x1a4 ExceptionCode    : Int4B
   +0x1a8 ActivationContextStack : _ACTIVATION_CONTEXT_STACK
   +0x1bc SpareBytes1      : [24] UChar
   +0x1d4 GdiTebBatch      : _GDI_TEB_BATCH
   +0x6b4 RealClientId     : _CLIENT_ID
   +0x6bc GdiCachedProcessHandle : Ptr32 Void
   +0x6c0 GdiClientPID     : Uint4B
   +0x6c4 GdiClientTID     : Uint4B
   +0x6c8 GdiThreadLocalInfo : Ptr32 Void
   +0x6cc Win32ClientInfo  : [62] Uint4B
   +0x7c4 glDispatchTable  : [233] Ptr32 Void
   +0xb68 glReserved1      : [29] Uint4B
   +0xbdc glReserved2      : Ptr32 Void
   +0xbe0 glSectionInfo    : Ptr32 Void
   +0xbe4 glSection        : Ptr32 Void
   +0xbe8 glTable          : Ptr32 Void
   +0xbec glCurrentRC      : Ptr32 Void
   +0xbf0 glContext        : Ptr32 Void
   +0xbf4 LastStatusValue  : Uint4B
   +0xbf8 StaticUnicodeString : _UNICODE_STRING
   +0xc00 StaticUnicodeBuffer : [261] Uint2B
   +0xe0c DeallocationStack : Ptr32 Void
   +0xe10 TlsSlots         : [64] Ptr32 Void                  //TLS值 是个数组[64]
   +0xf10 TlsLinks         : _LIST_ENTRY
   +0xf18 Vdm              : Ptr32 Void
   +0xf1c ReservedForNtRpc : Ptr32 Void
   +0xf20 DbgSsReserved    : [2] Ptr32 Void
   +0xf28 HardErrorsAreDisabled : Uint4B
   +0xf2c Instrumentation  : [16] Ptr32 Void
   +0xf6c WinSockData      : Ptr32 Void
   +0xf70 GdiBatchCount    : Uint4B
   +0xf74 InDbgPrint       : UChar
   +0xf75 FreeStackOnTermination : UChar
   +0xf76 HasFiberData     : UChar
   +0xf77 IdealProcessor   : UChar
   +0xf78 Spare3           : Uint4B
   +0xf7c ReservedForPerf  : Ptr32 Void
   +0xf80 ReservedForOle   : Ptr32 Void
   +0xf84 WaitingOnLoaderLock : Uint4B
   +0xf88 Wx86Thread       : _Wx86ThreadState
   +0xf94 TlsExpansionSlots : Ptr32 Ptr32 Void                //TLS扩展值 是个数组[Ptr32]
   +0xf98 ImpersonationLocale : Uint4B
   +0xf9c IsImpersonating  : Uint4B
   +0xfa0 NlsCache         : Ptr32 Void
   +0xfa4 pShimData        : Ptr32 Void
   +0xfa8 HeapVirtualAffinity : Uint4B
   +0xfac CurrentTransactionHandle : Ptr32 Void
   +0xfb0 ActiveFrame      : Ptr32 _TEB_ACTIVE_FRAME
   +0xfb4 SafeThunkCall    : UChar
   +0xfb5 BooleanSpare     : [3] UChar
   ...

TEB结构体的成员多尔复杂，在用户模式调试中起着重要作用的成员有2个。

   +0x000 NtTib            : _NT_TIB
  	....
   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB                 //进程PEB

先看Offset 30处的ProcessEnvironmentBloack成员，它是指向PEB（进程环境块）结构体的指针，PEB是进程环境块，每个进程对应1个PEB结构体。
TEB结构体的第一个成员为_NT_TIB结构体（TIB是Thread Information Block的简称，意为线程信息块），_NT_TIB结构体的定义如下所示：

typedef struct _NT_TIB{
	struct _EXCEPTION_REGISTRATION_RECORD *ExceptionList;
	PVOID StackBase;
	PVOID StackLimit;
	PVOID SubSystemTib;
	union {
		PVOID FiberData;
		DWORD Version;
	};
	PVOID ArbitraryUserPoninter;
	struct _NT_TIB *self;
} NT_TIB;
typedef NT_TIB *PNT_TIB;

ExceptionList成员指向_EXCEPTION_REGISTRATION_RECORD结构体组成的链表，它用于Windows OS的SEH。
Self成员是_NT_TIB结构体的自引用指针，也是TEB结构体的指针。

TEB访问方法

Ntdll.NtCurrentTeb()

Ntdll.NtCurrentTeb() API用来返回当前线程的TEB结构体的地址。
首先在OllyDbg中打开Notepad.exe程序，然后鼠标右键菜单中选择Search for Name in all modules菜单，在Name in all modules对话框中查找ntdll.NtCurrentTeb() API。
查找到NtCurrentTeb函数后，使用鼠标双击即可跳转到该API的代码处。
NtCurrentTeb()函数内部代码非常简单，只返回FS:[18]地址值，FS:[18]的实际地址为002C3000，即NtCurrentTeb() API返回的是002C3000，该地址就是当前线程的TEB的地址。
TEB结构体的地址（002C3000），与FS段寄存器所指的段内存的基址是一样的，也就是说TEB与FS段寄存器有着某种关联。

FS段寄存器

FS段寄存器用来指示当前线程的TEB结构体。
FS寄存器并非直接指向TEB结构体的地址，它持有SDT的索引，而该索引持有实际TEB地址。
SDT位于内核内存区域，其地址存储在特殊的寄存器GDTR（全局描述符寄存器）中。
由于段寄存器实际存储的是SDT的索引，所以它也被称为段选择符，TEB结构体位于FS段选择符所指的段内存的起始地址处。
FS:[0x18]=TEB起始地址 => _NT_TIB结构体的定义得知，结构体的最后一个Self成员恰好位于从TEB结构体偏移018的位置，Self指针变量指向_NT_TIB结构体的起始地址，也就是TEB的起始地址。
FS:[0x30]=PEB起始地址 => 通过TEB的ProcessEnvironment Block成员可用获取PEB结构体的起始地址，PEB结构体多用于反调试。
FS:[0]=SEH起始地址 => SEH是WIndows操作系统中的结构化异常处理基址，常用于反调试技术。