一、调用系统的IsDebuggerPresent函数 （1）实现程序 最简单也是最基础的，Windows提供的API接口：IsDebuggerPresent()，这API实际上就是访问PEB的BeingDebugged标志来判断是否处于调试状态。 使用vs调试此段代码，弹出"检测到调试器"。 #include <stdio.h> #include <Windows.h> D
一、TEB结构体 TEB，它记录的相关线程的信息，每一个线程都有自己的TEB，FS:[0]即是当前线程的TEB。 +0x000 NtTib : _NT_TIB //TIB结构.存储栈信息 +0x01c EnvironmentPointer : Ptr32 Void +0x020 ClientId : _CLIE
什么是LPC LPC（Local-Process-communicationandnotlocalprocedure-Calls）是一种在NT内核中实现的基于消息的高速通信机制。LPC可用于两个用户模式进程之间、用户模式进程与内核模式驱动程序之间或两个内核模式驱动程序之间的通信。一个例子是通过LPC通信的两个用户模式进程。像CSRSS
Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html Windows系统调用中的现场保存 我们之前介绍过三环进零环的步骤，通过中断或者快速调用来实现。 但是我们是否考虑过CPU从三环进入零环时，其三环的寄存器该如何保存。 这一篇文件就来介绍其
