PEB 地址 (0x07FFDA00) 是否是来自已加载进程的基地址的 RVA？

Question

我正在尝试使用 C/ASM 中的 PEB 结构，但在我想了解一些基础知识之前。 我在某处读到大多数进程的PEB 地址为0x07FFDA00。

现在这个地址是相对于进程基地址的，即(0x00400000 + 0x07FFDA00 == PEB base addr)？

因为所有进程当然不能将其PEB 发送到此地址。

Answer 1

因为所有进程当然不能将它们的PEB发送到这个地址。

如果0x07FFDA00 和0x00400000 一样是一个虚拟地址，那么所有进程都可以在这个地址上拥有它们的PEB。

正如您在this thread 中看到的，0x07FFDA00 不是RVA，它只是相对于进程物理地址的VA，因此0x00400000 + 0x07FFDA00 没有任何意义。

您可以使用 NtQueryInformationProcess 进行检查，例如：

DWORD pid = GetCurrentProcessId();
HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, pid);
PROCESS_BASIC_INFORMATION pbi;
NTSTATUS status = NtQueryInformationProcess(hProcess,
                                            ProcessBasicInformation,
                                            &pbi,
                                            sizeof(pbi),
                                            NULL);
PPEB peb_addr = pbi.PebBaseAddress;