时间戳

首页 > 解决方案 > 用于获取 TIB 地址的内联 __asm 代码 (fs:[0x18])

winapi - 用于获取 TIB 地址的内联 __asm 代码 (fs:[0x18])

问题描述

我想得到一个进程的TIB，然后得到它的PEB等等。我没有这样做，因为我对__readfsdword(0x18)函数有一些问题，所以如果可能的话，我想用__asm内联代码来做。该程序是为 x86 编译的，所以我认为这意味着 TIB 将位于0x18FS 寄存器的偏移量处。在 x64 上它应该是 on gs:[0x30]。

我将如何实现这个内联汇编的想法？

编辑

NtCurrentTeb()并__readfsdword给出了不同的返回地址，所以我想尽可能低地找出哪一个出现故障。不工作的原因__readfsdword是因为我认为这些库彼此不兼容，所以我用更新的版本替换了它们，现在它可以正常工作了。

标签： winapivisual-c++x86inline-assemblycpu-registers

解决方案

__readfsdword/__readgsqword是编译器内部函数，它们将生成更优化的代码，没有理由使用内联汇编。Microsoft 的 64 位目标编译器甚至不支持内联汇编。

#include <intrin.h>

__declspec(naked) void* __stdcall GetTEB()
{
    __asm mov eax, dword ptr fs:[0x18] ;
    __asm ret ;
}

...

void *teb;
__asm push eax ;
__asm mov eax, dword ptr fs:[0x18] ;
__asm mov teb, eax ;
__asm pop eax ;
printf("%p == %p == %p\n", GetTEB(), teb, __readfsdword(0x18));

正如评论中所建议的，NtCurrentTeb()由 Windows SDK 提供。它很可能只是使用__readfsdword.

推荐阅读