2013年11月17日
基于TLS的反调试技术
摘要： TLS(Thread Local Storage 线程局部存储)一个进程中的每个线程在访问同一个线程局部存储时，访问到的都是独立的绑定于该线程的数据块。在PEB（进程环境块）中TLS存储槽共64个（位于PEB的TlsBitmapBits字段中，共64位（bit）微软保证每个进程最少拥有64个索引可用，如果需要，系统还会为线程提供更多的索引）。每个TEB（线程环境块）偏移0x2C处是一个PVOID THreadLocalStoragePointer指针，存放着当前进程TLS副本地址。TLS对每个线程都可见，并且这个值对于所有的线程都是相同的，操作这个索引就代表操作了所有线程的相同索引。typed 阅读全文
posted @ 2013-11-17 16:51 0x苦行僧 阅读(1173) 评论(0) 推荐(0)