能解释一下这个技巧的原理吗？为什么GetThreadContext可以直接获取PEB，这是规律吗？看有的傀儡进程demo还会直接在获取寄存器数据后使用eax=oep，能解释一下吗?

SAO 能解释一下这个技巧的原理吗？为什么GetThreadContext可以直接获取PEB，这是规律吗？看有的傀儡进程demo还会直接在获取寄存器数据后使用eax=oep，能解释一下吗?

以挂起的方式创建进程，其线程上下文context的ebx存放的就是peb的地址，这是通过逆向分析进程创建3环部分得到的结论

看来这个编程技巧挺深奥的,先收藏下来，慢慢学习一下。

Mr.hack 以挂起的方式创建进程，其线程上下文context的ebx存放的就是peb的地址，这是通过逆向分析进程创建3环部分得到的结论

仅限于32位程序下  ebx只是刚好是不易丢失寄存器 本身在r3的进入程序"主线程"的时候 param1是oep param2是peb 而eax=param1  ebx=param2 所以出现的ebx=peb 未被丢失 而64位程序则不会出现这种情况

SAO 能解释一下这个技巧的原理吗？为什么GetThreadContext可以直接获取PEB，这是规律吗？看有的傀儡进程demo还会直接在获取寄存器数据后使用eax=oep，能解释一下吗?

参考一下wrk、或者泄露的windows源码
24eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1k6i4y4@1j5X3q4@1i4K6u0r3g2$3W2F1k6r3!0%4M7#2)9J5k6q4y4W2M7Y4k6W2M7W2)9J5c8X3u0D9L8$3u0Q4x3V1j5#2j5K6k6X3k6e0y4V1j5U0j5J5y4X3t1$3x3$3p5K6z5o6b7J5x3K6m8S2x3h3q4S2y4X3t1&6x3X3q4U0y4o6p5$3j5U0l9%4y4U0g2X3i4K6u0r3j5X3q4K6k6g2)9J5c8X3&6@1L8%4y4Q4x3V1k6H3M7#2)9J5c8X3y4J5k6h3q4@1k6g2)9J5k6h3y4Q4x3U0y4x3y4o6V1$3

        try {
            //
            // Initialize kernel thread object for user mode thread.
            //

            Thread->StartAddress = (PVOID)CONTEXT_TO_PROGRAM_COUNTER(ThreadContext);

#if defined(_IA64_)

            Thread->Win32StartAddress = (PVOID)ThreadContext->IntT0;

#elif defined(_AMD64_)

            Thread->Win32StartAddress = (PVOID)ThreadContext->Rdx;

#elif defined(_X86_)

            Thread->Win32StartAddress = (PVOID)ThreadContext->Eax;

#else

#error "no target architecture"

#endif // defined(_IA64_)

        } except (EXCEPTION_EXECUTE_HANDLER) {

            Status = GetExceptionCode();
        }