设为首页收藏本站
切换到宽版

龙马谷

 找回密码
 立即注册

QQ登录

只需一步，快速开始

龙马谷»龙马谷论坛 › 技术专区 › 辅助开发技术分享 › PEB32 + PEB64遍历模块源码
龙马谷VIP会员办理客服QQ：82926983（如果临时会话没有收到回复，请先加QQ好友再发。）
1 [已完结] GG修改器新手入门与实战教程 31课 2 [已完结] GG修改器美化修改教程 6课 3 [已完结] GG修改器Lua脚本新手入门教程 12课
4 [已完结] 触动精灵脚本新手入门必学教程 22课 5 [已完结] 手游自动化脚本入门实战教程 9课 6 [已完结] C++射击游戏方框骨骼透视与自瞄教程 27课
7 [已完结] C++零基础UE4逆向开发FPS透视自瞄教程 29课 8 [已完结] C++零基础大漠模拟器手游自动化辅助教程 22课 9 [已完结] C++零基础开发DXF内存脚本辅助教程 32课
以下是天马阁VIP教程，本站与天马阁合作，赞助VIP可以获得天马阁对应VIP会员，名额有限！ 点击进入天马阁论坛
1 [已完结] x64CE与x64dbg入门基础教程 7课 2 [已完结] x64汇编语言基础教程 16课 3 [已完结] x64辅助入门基础教程 9课
4 [已完结] C++x64内存辅助实战技术教程 149课 5 [已完结] C++x64内存检测与过检测技术教程 10课 6 [已完结] C+x64二叉树分析遍历与LUA自动登陆教程 19课
7 [已完结] C++BT功能原理与x64实战教程 29课 8 [已完结] C+FPS框透视与自瞄x64实现原理及防护思路
返回列表 发新帖
查看: 8080|回复: 0

PEB32 + PEB64遍历模块源码

[复制链接]
三月的天气

14

主题

0

回帖

18

积分

编程入门

Rank: 1

龙马币
38
三月的天气 | 显示全部楼层 |阅读模式



  3. #pragma pack(4)

  5. typedef struct _UNICODE_STRING32
  6. {
  7.         USHORT Length;
  8.         USHORT MaximumLength;
  9.         ULONG Buffer;
  10. } UNICODE_STRING32, *PUNICODE_STRING32;

  12. typedef struct _PEB32
  13. {
  14.         UCHAR InheritedAddressSpace;
  15.         UCHAR ReadImageFileExecOptions;
  16.         UCHAR BeingDebugged;
  17.         UCHAR BitField;
  18.         ULONG Mutant;
  19.         ULONG ImageBaseAddress;
  20.         ULONG Ldr;
  21.         ULONG ProcessParameters;
  22.         ULONG SubSystemData;
  23.         ULONG ProcessHeap;
  24.         ULONG FastPebLock;
  25.         ULONG AtlThunkSListPtr;
  26.         ULONG IFEOKey;
  27.         ULONG CrossProcessFlags;
  28.         ULONG UserSharedInfoPtr;
  29.         ULONG SystemReserved;
  30.         ULONG AtlThunkSListPtr32;
  31.         ULONG ApiSetMap;
  32. } PEB32, *PPEB32;

  34. typedef struct _PEB_LDR_DATA32
  35. {
  36.         ULONG Length;
  37.         BOOLEAN Initialized;
  38.         ULONG SsHandle;
  39.         LIST_ENTRY32 InLoadOrderModuleList;
  40.         LIST_ENTRY32 InMemoryOrderModuleList;
  41.         LIST_ENTRY32 InInitializationOrderModuleList;
  42.         ULONG EntryInProgress;
  43. } PEB_LDR_DATA32, *PPEB_LDR_DATA32;

  45. typedef struct _LDR_DATA_TABLE_ENTRY32
  46. {
  47.         LIST_ENTRY32 InLoadOrderLinks;
  48.         LIST_ENTRY32 InMemoryOrderModuleList;
  49.         LIST_ENTRY32 InInitializationOrderModuleList;
  50.         ULONG DllBase;
  51.         ULONG EntryPoint;
  52.         ULONG SizeOfImage;
  53.         UNICODE_STRING32 FullDllName;
  54.         UNICODE_STRING32 BaseDllName;
  55.         ULONG Flags;
  56.         USHORT LoadCount;
  57.         USHORT TlsIndex;
  58.         union
  59.         {
  60.                 LIST_ENTRY32 HashLinks;
  61.                 ULONG SectionPointer;
  62.         };
  63.         ULONG CheckSum;
  64.         union
  65.         {
  66.                 ULONG TimeDateStamp;
  67.                 ULONG LoadedImports;
  68.         };
  69.         ULONG EntryPointActivationContext;
  70.         ULONG PatchInformation;
  71. } LDR_DATA_TABLE_ENTRY32, *PLDR_DATA_TABLE_ENTRY32;

  73. #pragma pack()

  75. #pragma pack(8)

  77. typedef struct _PROCESS_BASIC_INFORMATION64 {
  78.         ULONG64 ExitStatus;
  79.         ULONG64 PebBaseAddress;
  80.         ULONG64 AffinityMask;
  81.         ULONG64 BasePriority;
  82.         ULONG64 UniqueProcessId;
  83.         ULONG64 InheritedFromUniqueProcessId;
  84. } PROCESS_BASIC_INFORMATION64, *PPROCESS_BASIC_INFORMATION64;

  86. typedef struct _PEB64
  87. {
  88.         UCHAR InheritedAddressSpace;
  89.         UCHAR ReadImageFileExecOptions;
  90.         UCHAR BeingDebugged;
  91.         UCHAR BitField;
  92.         ULONG64 Mutant;
  93.         ULONG64 ImageBaseAddress;
  94.         ULONG64 Ldr;
  95.         ULONG64 ProcessParameters;
  96.         ULONG64 SubSystemData;
  97.         ULONG64 ProcessHeap;
  98.         ULONG64 FastPebLock;
  99.         ULONG64 AtlThunkSListPtr;
  100.         ULONG64 IFEOKey;
  101.         ULONG64 CrossProcessFlags;
  102.         ULONG64 UserSharedInfoPtr;
  103.         ULONG SystemReserved;
  104.         ULONG AtlThunkSListPtr32;
  105.         ULONG64 ApiSetMap;
  106. } PEB64, *PPEB64;

  108. typedef struct _PEB_LDR_DATA64
  109. {
  110.         ULONG Length;
  111.         BOOLEAN Initialized;
  112.         ULONG64 SsHandle;
  113.         LIST_ENTRY64 InLoadOrderModuleList;
  114.         LIST_ENTRY64 InMemoryOrderModuleList;
  115.         LIST_ENTRY64 InInitializationOrderModuleList;
  116.         ULONG64 EntryInProgress;
  117. } PEB_LDR_DATA64, *PPEB_LDR_DATA64;

  119. typedef struct _UNICODE_STRING64
  120. {
  121.         USHORT Length;
  122.         USHORT MaximumLength;
  123.         ULONG64 Buffer;
  124. } UNICODE_STRING64, *PUNICODE_STRING64;

  126. typedef struct _LDR_DATA_TABLE_ENTRY64
  127. {
  128.         LIST_ENTRY64 InLoadOrderLinks;
  129.         LIST_ENTRY64 InMemoryOrderModuleList;
  130.         LIST_ENTRY64 InInitializationOrderModuleList;
  131.         ULONG64 DllBase;
  132.         ULONG64 EntryPoint;
  133.         ULONG SizeOfImage;
  134.         UNICODE_STRING64 FullDllName;
  135.         UNICODE_STRING64 BaseDllName;
  136.         ULONG Flags;
  137.         USHORT LoadCount;
  138.         USHORT TlsIndex;
  139.         union
  140.         {
  141.                 LIST_ENTRY64 HashLinks;
  142.                 ULONG64 SectionPointer;
  143.         };
  144.         ULONG CheckSum;
  145.         union
  146.         {
  147.                 ULONG TimeDateStamp;
  148.                 ULONG64 LoadedImports;
  149.         };
  150.         ULONG64 EntryPointActivationContext;
  151.         ULONG64 PatchInformation;
  152. } LDR_DATA_TABLE_ENTRY64, *PLDR_DATA_TABLE_ENTRY64;

  154. #pragma pack()

  156. ULONG NewEnumProcsssModules(ULONG ProcessId, fnEnumProcessModuleProc fnEnumProc)
  157. {
  158.         std::wstring ImagePath;
  159.         ULONG nCount = 0;

  161.         HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, ProcessId);
  162.         if (hProcess)
  163.         {
  164.                 if (IsAMD64())
  165.                 {
  166.                         if (IsWow64())//wow64 read 64bit or 32 bit
  167.                         {
  168.                                 PROCESS_BASIC_INFORMATION64 pbi64 = {0};
  169.                                 if (NT_SUCCESS(NtWow64QueryInformationProcess64(hProcess, ProcessBasicInformation, &pbi64, sizeof(pbi64), NULL)))
  170.                                 {
  171.                                         ULONG64 LdrAddress = 0;
  172.                                         if (InternalReadVirtualMemory(hProcess, (ULONG64)(pbi64.PebBaseAddress + offsetof(PEB64, Ldr)), sizeof(LdrAddress), &LdrAddress, NULL))
  173.                                         {
  174.                                                 LIST_ENTRY64 ListEntry = { 0 };
  175.                                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)(LdrAddress + offsetof(PEB_LDR_DATA64, InLoadOrderModuleList)), sizeof(LIST_ENTRY64), &ListEntry, NULL))
  176.                                                 {
  177.                                                         LDR_DATA_TABLE_ENTRY64 CurrentModule = { 0 };

  179.                                                         if (InternalReadVirtualMemory(hProcess, (ULONG64)ListEntry.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  180.                                                         {
  181.                                                                 ULONG64 hFristModule = (ULONG64)CurrentModule.DllBase;
  182.                                                                 while (1)
  183.                                                                 {
  184.                                                                         if (CurrentModule.DllBase)
  185.                                                                         {
  186.                                                                                 ImagePath.resize(CurrentModule.FullDllName.Length / sizeof(WCHAR));
  187.                                                                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.FullDllName.Buffer, CurrentModule.FullDllName.Length, (void *)ImagePath.c_str(), NULL))
  188.                                                                                 {
  189.                                                                                         nCount += fnEnumProc(ProcessId, (ULONG64)CurrentModule.DllBase, CurrentModule.SizeOfImage, ImagePath.c_str());
  190.                                                                                 }
  191.                                                                         }

  193.                                                                         if (!InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.InLoadOrderLinks.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  194.                                                                                 break;

  196.                                                                         if (hFristModule == (ULONG64)CurrentModule.DllBase)
  197.                                                                                 break;
  198.                                                                 }
  199.                                                         }
  200.                                                 }
  201.                                         }
  202.                                 }
  203.                         }
  204.                         else if(!Is64BitProcess(hProcess))//64bit read wow64
  205.                         {
  206.                                 ULONG Peb32 = 0;
  207.                                 if (NT_SUCCESS(NtQueryInformationProcess(hProcess, ProcessWow64Information, &Peb32, sizeof(Peb32), NULL)))
  208.                                 {
  209.                                         ULONG64 LdrAddress = 0;
  210.                                         if (InternalReadVirtualMemory(hProcess, (ULONG64)Peb32 + offsetof(PEB32, Ldr), sizeof(ULONG), &LdrAddress, NULL))
  211.                                         {
  212.                                                 LIST_ENTRY32 ListEntry = { 0 };
  213.                                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)(LdrAddress + offsetof(PEB_LDR_DATA32, InLoadOrderModuleList)), sizeof(LIST_ENTRY64), &ListEntry, NULL))
  214.                                                 {
  215.                                                         LDR_DATA_TABLE_ENTRY32 CurrentModule = { 0 };
  216.                                                         if (InternalReadVirtualMemory(hProcess, (ULONG64)ListEntry.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  217.                                                         {
  218.                                                                 PVOID hFirstModule = (PVOID)CurrentModule.DllBase;
  219.                                                                 while (1)
  220.                                                                 {
  221.                                                                         if (CurrentModule.DllBase)
  222.                                                                         {
  223.                                                                                 ImagePath.resize(CurrentModule.FullDllName.Length / sizeof(WCHAR));
  224.                                                                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.FullDllName.Buffer, CurrentModule.FullDllName.Length, (void *)ImagePath.c_str(), NULL))
  225.                                                                                 {
  226.                                                                                         nCount += fnEnumProc(ProcessId, (ULONG64)CurrentModule.DllBase, CurrentModule.SizeOfImage, ImagePath.c_str());
  227.                                                                                 }
  228.                                                                         }

  230.                                                                         if (!InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.InLoadOrderLinks.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  231.                                                                                 break;

  233.                                                                         if (hFirstModule == (PVOID)CurrentModule.DllBase)
  234.                                                                                 break;
  235.                                                                 }
  236.                                                         }
  237.                                                 }
  238.                                         }
  239.                                 }
  240.                         }
  241.                 }//IsAMD64
  242.                
  243.                 //Native PEB
  244.                 PROCESS_BASIC_INFORMATION pbi = { 0 };
  245.                 if (NT_SUCCESS(NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL)))
  246.                 {
  247.                         ULONG64 LdrAddress = 0;
  248.                         if (InternalReadVirtualMemory(hProcess, (ULONG64)pbi.PebBaseAddress + offsetof(PEB, Ldr), sizeof(PVOID), &LdrAddress, NULL))
  249.                         {
  250.                                 LIST_ENTRY ListEntry = { 0 };
  251.                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)(LdrAddress + offsetof(PEB_LDR_DATA, InLoadOrderModuleList)), sizeof(LIST_ENTRY64), &ListEntry, NULL))
  252.                                 {
  253.                                         LDR_DATA_TABLE_ENTRY CurrentModule = { 0 };
  254.                                         if (InternalReadVirtualMemory(hProcess, (ULONG64)ListEntry.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  255.                                         {
  256.                                                 PVOID hFirstModule = CurrentModule.DllBase;
  257.                                                 while (1)
  258.                                                 {
  259.                                                         if (CurrentModule.DllBase)
  260.                                                         {
  261.                                                                 ImagePath.resize(CurrentModule.FullDllName.Length / sizeof(WCHAR));
  262.                                                                 if (InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.FullDllName.Buffer, CurrentModule.FullDllName.Length, (void *)ImagePath.c_str(), NULL))
  263.                                                                 {
  264.                                                                         nCount += fnEnumProc(ProcessId, (ULONG64)CurrentModule.DllBase, CurrentModule.SizeOfImage, ImagePath.c_str());
  265.                                                                 }
  266.                                                         }

  268.                                                         if (!InternalReadVirtualMemory(hProcess, (ULONG64)CurrentModule.InLoadOrderLinks.Flink, sizeof(CurrentModule), &CurrentModule, NULL))
  269.                                                                 break;

  271.                                                         if (hFirstModule == CurrentModule.DllBase)
  272.                                                                 break;
  273.                                                 }
  274.                                         }
  275.                                 }
  276.                         }
  277.                 }
  278.                
  279.                 CloseHandle(hProcess);
  280.         }

  282.         return nCount;
  283. }

复制代码
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

龙马谷| C/C++辅助教程| 安卓逆向安全| 论坛导航| 免责申明|Archiver|
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论，本站内容均为会员发表，并不代表龙马谷立场!
任何人不得以任何方式翻录、盗版或出售本站视频，一经发现我们将追究其相关责任!
我们一直在努力成为最好的编程论坛!
Copyright© 2018-2021 All Right Reserved.
关闭

会员办理

售后客服

技术支持

工作时间：9:00-22:00

在线客服
快速回复 返回顶部 返回列表