利用PEB结构来查找
原理：FS段寄存器作为选择子指向当前的TEB结构，在TEB偏移0x30处是PEB指针。而在PEB偏移的0x0c处是指向PEB_LDR_DATA结构的指针，位于 PEB_LDR_DATA结构偏移0x1c处，是一个叫InInitialzationOrderModuleList的成员，他是指向LDR_MODULE链表结构中，相应的双向链表头部 的指针（汗死，绕口令）,该链表加载的DLL的顺序是ntdll.dll，kernel32.dll(偶找了N多资料，都只介绍这个DLL，如果你知道其他的请告诉偶） 原理：FS段寄存器作为选择子指向当前的TEB结构，在TEB偏移0
阅读背景：
几种得到kernel32.dll地址的方法
来源：互联网
分享到：
