能力值：
( LV2，RANK：10 )
|
-
-
2 楼
同问，怎么搞。
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
ETHREAD结构里面有
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
ethread->ThreadListEntry用来遍历线程吧，然后kthread里面+0x088 就是Teb吧（WIN7），+0x150 就是EProcess的地址吧……应该是这么取的
|
能力值：
( LV5，RANK：70 )
|
-
-
5 楼
int CBaseInfo::GetThreadTebAddr(THREAD_INFO &stcThreadInfo)
{
THREAD_BASIC_INFORMATION info = { 0 };
NTQUERYINFORMATIONTHREAD NtQueryInformationThread = NULL;
NtQueryInformationThread = (NTQUERYINFORMATIONTHREAD)
GetProcAddress(LoadLibrary(_T("ntdll.dll")), "ZwQueryInformationThread");
if (!NtQueryInformationThread)
{
return 0;
}
HANDLE ThreadHandle = NULL;
ThreadHandle = OpenThread(THREAD_QUERY_INFORMATION, FALSE, (DWORD)stcThreadInfo.ClientId.UniqueThread);
if (!ThreadHandle)
{
return 0;
}
DWORD dwReturnLength = 0;
if (NtQueryInformationThread(ThreadHandle, ThreadBasicInformation,
&info, sizeof(info), &dwReturnLength))
{
return 0;
}
stcThreadInfo.Teb = info.TebBaseAddress;
return 0;
}
不知道是不是你说的~
|
能力值：
( LV8，RANK：130 )
|
-
-
6 楼
如果只是想获取TEB地址，用CreateToolhelpSnapshot枚举指定进程的所有线程ID，然后按楼上这样依次读取TEB地址就可以了。
|
能力值：
( LV9，RANK：180 )
|
-
-
7 楼
pcas.exe，目测楼主要日了支付宝。
|
能力值：
![]()
(RANK：290 )
|
-
-
8 楼
谢了~ ~ 
|
|
|
|
