[逆向工程]什么是TEB 与 PEB（二十九）

[逆向工程]什么是TEB 与 PEB（二十九）

一、引言：为什么需要了解 TEB/PEB？

在 Windows 系统开发、调试或逆向工程中，TEB（Thread Environment Block） 和 PEB（Process Environment Block） 是理解程序执行机制的关键。它们如同进程与线程的“身份证”，存储了从内存布局到异常处理的底层信息。

• 场景价值：
  • 动态获取模块基址（绕过 ASLR）
  • 检测程序调试状态（反调试技术）
  • 实现无导入表的 API 调用
  • 恶意软件分析中的行为追踪

二、PEB：进程的全局控制中心

1. 结构概览（x64 系统为例）

typedef struct