c - PEB地址(0x07FF DA00)是加载进程基地址的RV吗？

Question

我正在尝试使用 C/ASM 中的 PEB 结构，但在此之前我想了解一些基础知识。我在某处读到，大多数进程在地址 0x07FFDA00 处都有它们的 PEB。

现在这个地址是相对于进程基地址的，即 (0x00400000 + 0x07FFDA00 == PEB base addr) ？

因为所有进程当然不能将它们的 PEB 指向这个地址。

Answer 1

Because all processes can't have their PEB to this address of course.

如果 0x07FFDA00 和 0x00400000 都是虚拟地址，那么所有进程都可以在该地址拥有它们的 PEB。

正如您在 this thread 中看到的那样, 0x07FFDA00 不是RVA，它只是一个相对于进程物理地址的VA，所以 0x00400000 + 0x07FDA00 没有任何意义。

您可以使用 NtQueryInformationProcess 进行检查，例如:

DWORD pid = GetCurrentProcessId();
HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, pid);
PROCESS_BASIC_INFORMATION pbi;
NTSTATUS status = NtQueryInformationProcess(hProcess,
                                            ProcessBasicInformation,
                                            &pbi,
                                            sizeof(pbi),
                                            NULL);
PPEB peb_addr = pbi.PebBaseAddress;