设为首页收藏本站
开启辅助访问 切换到窄版

X64站

 找回密码
 立即注册

QQ登录

只需一步，快速开始

X64站»论坛 › 程序设计 › 综合交流 › EPROCESS
1234下一页
返回列表 发新帖
查看: 1793|回复: 30

EPROCESS

  [复制链接]
admin
  • TA的每日心情
    擦汗
    2023-12-22 12:28

    • 签到天数: 13 天

    [LV.3]偶尔看看II

    122

    主题

    257

    帖子

    6902

    积分

    管理员

    Rank: 9Rank: 9Rank: 9

    积分
    6902

    最佳新人活跃会员热心会员推广达人宣传达人灌水之王突出贡献优秀版主荣誉管理论坛元老
    发表于 2024-3-25 00:14:22 | 显示全部楼层 |阅读模式 
    1.  : kd> dt _EPROCESS

    2. nt!_EPROCESS

    3.    +0x000 Pcb              : _KPROCESS

    4.    +0x2e0 ProcessLock      : _EX_PUSH_LOCK

    5.    +0x2e8 UniqueProcessId  : Ptr64 Void

    6.    +0x2f0 ActiveProcessLinks : _LIST_ENTRY

    7.    +0x300 RundownProtect   : _EX_RUNDOWN_REF

    8.    +0x308 Flags2           : Uint4B

    9.    +0x308 JobNotReallyActive : Pos 0, 1 Bit

    10.    +0x308 AccountingFolded : Pos 1, 1 Bit

    11.    +0x308 NewProcessReported : Pos 2, 1 Bit

    12.    +0x308 ExitProcessReported : Pos 3, 1 Bit

    13.    +0x308 ReportCommitChanges : Pos 4, 1 Bit

    14.    +0x308 LastReportMemory : Pos 5, 1 Bit

    15.    +0x308 ForceWakeCharge  : Pos 6, 1 Bit

    16.    +0x308 CrossSessionCreate : Pos 7, 1 Bit

    17.    +0x308 NeedsHandleRundown : Pos 8, 1 Bit

    18.    +0x308 RefTraceEnabled  : Pos 9, 1 Bit

    19.    +0x308 PicoCreated      : Pos 10, 1 Bit

    20.    +0x308 EmptyJobEvaluated : Pos 11, 1 Bit

    21.    +0x308 DefaultPagePriority : Pos 12, 3 Bits

    22.    +0x308 PrimaryTokenFrozen : Pos 15, 1 Bit

    23.    +0x308 ProcessVerifierTarget : Pos 16, 1 Bit

    24.    +0x308 RestrictSetThreadContext : Pos 17, 1 Bit

    25.    +0x308 AffinityPermanent : Pos 18, 1 Bit

    26.    +0x308 AffinityUpdateEnable : Pos 19, 1 Bit

    27.    +0x308 PropagateNode    : Pos 20, 1 Bit

    28.    +0x308 ExplicitAffinity : Pos 21, 1 Bit

    29.    +0x308 ProcessExecutionState : Pos 22, 2 Bits

    30.    +0x308 EnableReadVmLogging : Pos 24, 1 Bit

    31.    +0x308 EnableWriteVmLogging : Pos 25, 1 Bit

    32.    +0x308 FatalAccessTerminationRequested : Pos 26, 1 Bit

    33.    +0x308 DisableSystemAllowedCpuSet : Pos 27, 1 Bit

    34.    +0x308 ProcessStateChangeRequest : Pos 28, 2 Bits

    35.    +0x308 ProcessStateChangeInProgress : Pos 30, 1 Bit

    36.    +0x308 InPrivate        : Pos 31, 1 Bit

    37.    +0x30c Flags            : Uint4B

    38.    +0x30c CreateReported   : Pos 0, 1 Bit

    39.    +0x30c NoDebugInherit   : Pos 1, 1 Bit

    40.    +0x30c ProcessExiting   : Pos 2, 1 Bit

    41.    +0x30c ProcessDelete    : Pos 3, 1 Bit

    42.    +0x30c ManageExecutableMemoryWrites : Pos 4, 1 Bit

    43.    +0x30c VmDeleted        : Pos 5, 1 Bit

    44.    +0x30c OutswapEnabled   : Pos 6, 1 Bit

    45.    +0x30c Outswapped       : Pos 7, 1 Bit

    46.    +0x30c FailFastOnCommitFail : Pos 8, 1 Bit

    47.    +0x30c Wow64VaSpace4Gb  : Pos 9, 1 Bit

    48.    +0x30c AddressSpaceInitialized : Pos 10, 2 Bits

    49.    +0x30c SetTimerResolution : Pos 12, 1 Bit

    50.    +0x30c BreakOnTermination : Pos 13, 1 Bit

    51.    +0x30c DeprioritizeViews : Pos 14, 1 Bit

    52.    +0x30c WriteWatch       : Pos 15, 1 Bit

    53.    +0x30c ProcessInSession : Pos 16, 1 Bit

    54.    +0x30c OverrideAddressSpace : Pos 17, 1 Bit

    55.    +0x30c HasAddressSpace  : Pos 18, 1 Bit

    56.    +0x30c LaunchPrefetched : Pos 19, 1 Bit

    57.    +0x30c Background       : Pos 20, 1 Bit

    58.    +0x30c VmTopDown        : Pos 21, 1 Bit

    59.    +0x30c ImageNotifyDone  : Pos 22, 1 Bit

    60.    +0x30c PdeUpdateNeeded  : Pos 23, 1 Bit

    61.    +0x30c VdmAllowed       : Pos 24, 1 Bit

    62.    +0x30c ProcessRundown   : Pos 25, 1 Bit

    63.    +0x30c ProcessInserted  : Pos 26, 1 Bit

    64.    +0x30c DefaultIoPriority : Pos 27, 3 Bits

    65.    +0x30c ProcessSelfDelete : Pos 30, 1 Bit

    66.    +0x30c SetTimerResolutionLink : Pos 31, 1 Bit

    67.    +0x310 CreateTime       : _LARGE_INTEGER

    68.    +0x318 ProcessQuotaUsage : [2] Uint8B

    69.    +0x328 ProcessQuotaPeak : [2] Uint8B

    70.    +0x338 PeakVirtualSize  : Uint8B

    71.    +0x340 VirtualSize      : Uint8B

    72.    +0x348 SessionProcessLinks : _LIST_ENTRY

    73.    +0x358 ExceptionPortData : Ptr64 Void

    74.    +0x358 ExceptionPortValue : Uint8B

    75.    +0x358 ExceptionPortState : Pos 0, 3 Bits

    76.    +0x360 Token            : _EX_FAST_REF

    77.    +0x368 MmReserved       : Uint8B

    78.    +0x370 AddressCreationLock : _EX_PUSH_LOCK

    79.    +0x378 PageTableCommitmentLock : _EX_PUSH_LOCK

    80.    +0x380 RotateInProgress : Ptr64 _ETHREAD

    81.    +0x388 ForkInProgress   : Ptr64 _ETHREAD

    82.    +0x390 CommitChargeJob  : Ptr64 _EJOB

    83.    +0x398 CloneRoot        : _RTL_AVL_TREE

    84.    +0x3a0 NumberOfPrivatePages : Uint8B

    85.    +0x3a8 NumberOfLockedPages : Uint8B

    86.    +0x3b0 Win32Process     : Ptr64 Void

    87.    +0x3b8 Job              : Ptr64 _EJOB

    88.    +0x3c0 SectionObject    : Ptr64 Void

    89.    +0x3c8 SectionBaseAddress : Ptr64 Void

    90.    +0x3d0 Cookie           : Uint4B

    91.    +0x3d8 WorkingSetWatch  : Ptr64 _PAGEFAULT_HISTORY

    92.    +0x3e0 Win32WindowStation : Ptr64 Void

    93.    +0x3e8 InheritedFromUniqueProcessId : Ptr64 Void

    94.    +0x3f0 OwnerProcessId   : Uint8B

    95.    +0x3f8 Peb              : Ptr64 _PEB

    96.    +0x400 Session          : Ptr64 _MM_SESSION_SPACE

    97.    +0x408 Spare1           : Ptr64 Void

    98.    +0x410 QuotaBlock       : Ptr64 _EPROCESS_QUOTA_BLOCK

    99.    +0x418 ObjectTable      : Ptr64 _HANDLE_TABLE

    100.    +0x420 DebugPort        : Ptr64 Void

    101.    +0x428 WoW64Process     : Ptr64 _EWOW64PROCESS

    102.    +0x430 DeviceMap        : Ptr64 Void

    103.    +0x438 EtwDataSource    : Ptr64 Void

    104.    +0x440 PageDirectoryPte : Uint8B

    105.    +0x448 ImageFilePointer : Ptr64 _FILE_OBJECT

    106.    +0x450 ImageFileName    : [15] UChar

    107.    +0x45f PriorityClass    : UChar

    108.    +0x460 SecurityPort     : Ptr64 Void

    109.    +0x468 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO

    110.    +0x470 JobLinks         : _LIST_ENTRY

    111.    +0x480 HighestUserAddress : Ptr64 Void

    112.    +0x488 ThreadListHead   : _LIST_ENTRY

    113.    +0x498 ActiveThreads    : Uint4B

    114.    +0x49c ImagePathHash    : Uint4B

    115.    +0x4a0 DefaultHardErrorProcessing : Uint4B

    116.    +0x4a4 LastThreadExitStatus : Int4B

    117.    +0x4a8 PrefetchTrace    : _EX_FAST_REF

    118.    +0x4b0 LockedPagesList  : Ptr64 Void

    119.    +0x4b8 ReadOperationCount : _LARGE_INTEGER

    120.    +0x4c0 WriteOperationCount : _LARGE_INTEGER

    121.    +0x4c8 OtherOperationCount : _LARGE_INTEGER

    122.    +0x4d0 ReadTransferCount : _LARGE_INTEGER

    123.    +0x4d8 WriteTransferCount : _LARGE_INTEGER

    124.    +0x4e0 OtherTransferCount : _LARGE_INTEGER

    125.    +0x4e8 CommitChargeLimit : Uint8B

    126.    +0x4f0 CommitCharge     : Uint8B

    127.    +0x4f8 CommitChargePeak : Uint8B

    128.    +0x500 Vm               : _MMSUPPORT_FULL

    129.    +0x640 MmProcessLinks   : _LIST_ENTRY

    130.    +0x650 ModifiedPageCount : Uint4B

    131.    +0x654 ExitStatus       : Int4B

    132.    +0x658 VadRoot          : _RTL_AVL_TREE

    133.    +0x660 VadHint          : Ptr64 Void

    134.    +0x668 VadCount         : Uint8B

    135.    +0x670 VadPhysicalPages : Uint8B

    136.    +0x678 VadPhysicalPagesLimit : Uint8B

    137.    +0x680 AlpcContext      : _ALPC_PROCESS_CONTEXT

    138.    +0x6a0 TimerResolutionLink : _LIST_ENTRY

    139.    +0x6b0 TimerResolutionStackRecord : Ptr64 _PO_DIAG_STACK_RECORD

    140.    +0x6b8 RequestedTimerResolution : Uint4B

    141.    +0x6bc SmallestTimerResolution : Uint4B

    142.    +0x6c0 ExitTime         : _LARGE_INTEGER

    143.    +0x6c8 InvertedFunctionTable : Ptr64 _INVERTED_FUNCTION_TABLE

    144.    +0x6d0 InvertedFunctionTableLock : _EX_PUSH_LOCK

    145.    +0x6d8 ActiveThreadsHighWatermark : Uint4B

    146.    +0x6dc LargePrivateVadCount : Uint4B

    147.    +0x6e0 ThreadListLock   : _EX_PUSH_LOCK

    148.    +0x6e8 WnfContext       : Ptr64 Void

    149.    +0x6f0 ServerSilo       : Ptr64 _EJOB

    150.    +0x6f8 SignatureLevel   : UChar

    151.    +0x6f9 SectionSignatureLevel : UChar

    152.    +0x6fa Protection       : _PS_PROTECTION

    153.    +0x6fb HangCount        : Pos 0, 3 Bits

    154.    +0x6fb GhostCount       : Pos 3, 3 Bits

    155.    +0x6fb PrefilterException : Pos 6, 1 Bit

    156.    +0x6fc Flags3           : Uint4B

    157.    +0x6fc Minimal          : Pos 0, 1 Bit

    158.    +0x6fc ReplacingPageRoot : Pos 1, 1 Bit

    159.    +0x6fc Crashed          : Pos 2, 1 Bit

    160.    +0x6fc JobVadsAreTracked : Pos 3, 1 Bit

    161.    +0x6fc VadTrackingDisabled : Pos 4, 1 Bit

    162.    +0x6fc AuxiliaryProcess : Pos 5, 1 Bit

    163.    +0x6fc SubsystemProcess : Pos 6, 1 Bit

    164.    +0x6fc IndirectCpuSets  : Pos 7, 1 Bit

    165.    +0x6fc RelinquishedCommit : Pos 8, 1 Bit

    166.    +0x6fc HighGraphicsPriority : Pos 9, 1 Bit

    167.    +0x6fc CommitFailLogged : Pos 10, 1 Bit

    168.    +0x6fc ReserveFailLogged : Pos 11, 1 Bit

    169.    +0x6fc SystemProcess    : Pos 12, 1 Bit

    170.    +0x6fc HideImageBaseAddresses : Pos 13, 1 Bit

    171.    +0x6fc AddressPolicyFrozen : Pos 14, 1 Bit

    172.    +0x6fc ProcessFirstResume : Pos 15, 1 Bit

    173.    +0x6fc ForegroundExternal : Pos 16, 1 Bit

    174.    +0x6fc ForegroundSystem : Pos 17, 1 Bit

    175.    +0x6fc HighMemoryPriority : Pos 18, 1 Bit

    176.    +0x6fc EnableProcessSuspendResumeLogging : Pos 19, 1 Bit

    177.    +0x6fc EnableThreadSuspendResumeLogging : Pos 20, 1 Bit

    178.    +0x6fc SecurityDomainChanged : Pos 21, 1 Bit

    179.    +0x6fc SecurityFreezeComplete : Pos 22, 1 Bit

    180.    +0x6fc VmProcessorHost  : Pos 23, 1 Bit

    181.    +0x700 DeviceAsid       : Int4B

    182.    +0x708 SvmData          : Ptr64 Void

    183.    +0x710 SvmProcessLock   : _EX_PUSH_LOCK

    184.    +0x718 SvmLock          : Uint8B

    185.    +0x720 SvmProcessDeviceListHead : _LIST_ENTRY

    186.    +0x730 LastFreezeInterruptTime : Uint8B

    187.    +0x738 DiskCounters     : Ptr64 _PROCESS_DISK_COUNTERS

    188.    +0x740 PicoContext      : Ptr64 Void

    189.    +0x748 EnclaveTable     : Ptr64 Void

    190.    +0x750 EnclaveNumber    : Uint8B

    191.    +0x758 EnclaveLock      : _EX_PUSH_LOCK

    192.    +0x760 HighPriorityFaultsAllowed : Uint4B

    193.    +0x768 EnergyContext    : Ptr64 _PO_PROCESS_ENERGY_CONTEXT

    194.    +0x770 VmContext        : Ptr64 Void

    195.    +0x778 SequenceNumber   : Uint8B

    196.    +0x780 CreateInterruptTime : Uint8B

    197.    +0x788 CreateUnbiasedInterruptTime : Uint8B

    198.    +0x790 TotalUnbiasedFrozenTime : Uint8B

    199.    +0x798 LastAppStateUpdateTime : Uint8B

    200.    +0x7a0 LastAppStateUptime : Pos 0, 61 Bits

    201.    +0x7a0 LastAppState     : Pos 61, 3 Bits

    202.    +0x7a8 SharedCommitCharge : Uint8B

    203.    +0x7b0 SharedCommitLock : _EX_PUSH_LOCK

    204.    +0x7b8 SharedCommitLinks : _LIST_ENTRY

    205.    +0x7c8 AllowedCpuSets   : Uint8B

    206.    +0x7d0 DefaultCpuSets   : Uint8B

    207.    +0x7c8 AllowedCpuSetsIndirect : Ptr64 Uint8B

    208.    +0x7d0 DefaultCpuSetsIndirect : Ptr64 Uint8B

    209.    +0x7d8 DiskIoAttribution : Ptr64 Void

    210.    +0x7e0 DxgProcess       : Ptr64 Void

    211.    +0x7e8 Win32KFilterSet  : Uint4B

    212.    +0x7f0 ProcessTimerDelay : _PS_INTERLOCKED_TIMER_DELAY_VALUES

    213.    +0x7f8 KTimerSets       : Uint4B

    214.    +0x7fc KTimer2Sets      : Uint4B

    215.    +0x800 ThreadTimerSets  : Uint4B

    216.    +0x808 VirtualTimerListLock : Uint8B

    217.    +0x810 VirtualTimerListHead : _LIST_ENTRY

    218.    +0x820 WakeChannel      : _WNF_STATE_NAME

    219.    +0x820 WakeInfo         : _PS_PROCESS_WAKE_INFORMATION

    220.    +0x850 MitigationFlags  : Uint4B

    221.    +0x850 MitigationFlagsValues : <anonymous-tag>

    222.    +0x854 MitigationFlags2 : Uint4B

    223.    +0x854 MitigationFlags2Values : <anonymous-tag>

    224.    +0x858 PartitionObject  : Ptr64 Void

    225.    +0x860 SecurityDomain   : Uint8B

    226.    +0x868 ParentSecurityDomain : Uint8B

    227.    +0x870 CoverageSamplerContext : Ptr64 Void

    228.    +0x878 MmHotPatchContext : Ptr64 Void

    229. //------------------------------------------------------------

    230. d> dt _EPROCESS

    231. ntdll!_EPROCESS

    232. +0x000 Pcb : _KPROCESS 内嵌的内核层进程结构体

    233. +0x2e0 ProcessLock : _EX_PUSH_LOCK 自旋锁 用于保护EPROCESS数据成员的同步

    234. +0x2e8 UniqueProcessId : Ptr64 Void 进程的唯一PID

    235. +0x2f0 ActiveProcessLinks : _LIST_ENTRY 双向链表 当前系统活动的所有进程 全局表头 PsActiveProcessHead

    236. +0x300 RundownProtect : _EX_RUNDOWN_REF 进程的停止保护锁 当进程最后被销毁时 要等到其他进程和线程释放了此锁才可以继续

    237. +0x308 Flags2 : Uint4B

    238. +0x308 JobNotReallyActive : Pos 0, 1 Bit 工作不是很活跃

    239. +0x308 AccountingFolded : Pos 1, 1 会计折叠

    240. +0x308 NewProcessReported : Pos 2, 1 Bit 新工艺报告

    241. +0x308 ExitProcessReported : Pos 3, 1 Bit 已报告退出过程

    242. +0x308 ReportCommitChanges : Pos 4, 1 Bit 报告并提交更改

    243. +0x308 LastReportMemory : Pos 5, 1 Bit 上次报告内存

    244. +0x308 ForceWakeCharge : Pos 6, 1 Bit 强制唤醒

    245. +0x308 CrossSessionCreate : Pos 7, 1 Bit 跨会话创建

    246. +0x308 NeedsHandleRundown : Pos 8, 1 Bit 需要处理故障

    247. +0x308 RefTraceEnabled : Pos 9, 1 Bit Ref跟踪已启用

    248. +0x308 PicoCreated : Pos 10, 1 Bit Pico创建

    249. +0x308 EmptyJobEvaluated : Pos 11, 1 Bit 已评估空作业

    250. +0x308 DefaultPagePriority : Pos 12, 3 Bits 默认页面优先级

    251. +0x308 PrimaryTokenFrozen : Pos 15, 1 Bit 主令牌已冻结

    252. +0x308 ProcessVerifierTarget : Pos 16, 1 Bit 进程验证目标

    253. +0x308 RestrictSetThreadContext : Pos 17, 1 Bit 限制设置线程上下文

    254. +0x308 AffinityPermanent : Pos 18, 1 Bit 永久亲和力

    255. +0x308 AffinityUpdateEnable : Pos 19, 1 Bit 关联更新启用

    256. +0x308 PropagateNode : Pos 20, 1 Bit 传播节点

    257. +0x308 ExplicitAffinity : Pos 21, 1 Bit 显式亲和力

    258. +0x308 ProcessExecutionState : Pos 22, 2 Bits 进程执行状态s

    259. +0x308 EnableReadVmLogging : Pos 24, 1 Bit 启用ReadVm日志记录

    260. +0x308 EnableWriteVmLogging : Pos 25, 1 Bit 启用WriteVm日志记录

    261. +0x308 FatalAccessTerminationRequested : Pos 26, 1 Bit 请求终止FatalAccess

    262. +0x308 DisableSystemAllowedCpuSet : Pos 27, 1 Bit 禁用系统允许的Cpu集

    263. +0x308 ProcessStateChangeRequest : Pos 28, 2 Bits 处理状态更改请求

    264. +0x308 ProcessStateChangeInProgress : Pos 30, 1 Bit 进程状态更改正在进行中s

    265. +0x308 InPrivate : Pos 31, 1 Bit 隐私模式

    266. +0x30c Flags : Uint4B 进程的标志位

    267. +0x30c CreateReported : Pos 0, 1 Bit 创建报告

    268. +0x30c NoDebugInherit : Pos 1, 1 Bit 无调试继承s

    269. +0x30c ProcessExiting : Pos 2, 1 Bit 进程退出

    270. +0x30c ProcessDelete : Pos 3, 1 Bit 进程删除 *拒绝应用层结束但是可以自己关闭

    271. +0x30c ManageExecutableMemoryWrites : Pos 4, 1 Bit *管理是否可执行内存写入

    272. +0x30c VmDeleted : Pos 5, 1 Bit 虚拟机删除

    273. +0x30c OutswapEnabled : Pos 6, 1 Bit 已启用Outswap

    274. +0x30c Outswapped : Pos 7, 1 Bit 超越

    275. +0x30c FailFastOnCommitFail : Pos 8, 1 Bit 提交文件时文件快速

    276. +0x30c Wow64VaSpace4Gb : Pos 9, 1 Bit Wow64 Va空间4Gb

    277. +0x30c AddressSpaceInitialized : Pos 10, 2 Bits 地址空间已初始化

    278. +0x30c SetTimerResolution : Pos 12, 1 Bit 设置计时器分辨率

    279. +0x30c BreakOnTermination : Pos 13, 1 Bit 断开端接

    280. +0x30c DeprioritizeViews : Pos 14, 1 Bit 取消优先权的观点

    281. +0x30c WriteWatch : Pos 15, 1 Bit 写表

    282. +0x30c ProcessInSession : Pos 16, 1 Bit 进程会话

    283. +0x30c OverrideAddressSpace : Pos 17, 1 Bit 覆盖地址空间

    284. +0x30c HasAddressSpace : Pos 18, 1 Bit 有地址空间

    285. +0x30c LaunchPrefetched : Pos 19, 1 Bit 启动预取

    286. +0x30c Background : Pos 20, 1 Bit 出身背景

    287. +0x30c VmTopDown : Pos 21, 1 Bit 自上而下的虚拟机

    288. +0x30c ImageNotifyDone : Pos 22, 1 Bit 图像通知完成

    289. +0x30c PdeUpdateNeeded : Pos 23, 1 Bit 需要Pde更新

    290. +0x30c VdmAllowed : Pos 24, 1 Bit 允许Vdm

    291. +0x30c ProcessRundown : Pos 25, 1 Bit 进程耗尽

    292. +0x30c ProcessInserted : Pos 26, 1 Bit 插入的进程

    293. +0x30c DefaultIoPriority : Pos 27, 3 Bits 默认优先级s

    294. +0x30c ProcessSelfDelete : Pos 30, 1 Bit 进程自删除

    295. +0x30c SetTimerResolutionLink : Pos 31, 1 Bit 设置计时器分辨率链接s

    296. +0x310 CreateTime : _LARGE_INTEGER 进程创建时间

    297. +0x318 ProcessQuotaUsage : [2] Uint8B 进程的内存使用量 其中的元素分别对应分页内存池 非分页内存池 交换文件中的内存使用情况

    298. +0x328 ProcessQuotaPeak : [2] Uint8B 进程的尖峰使用量 其中的元素分别对应分页内存池 非分页内存池 交换文件中的内存使用情况

    299. +0x338 PeakVirtualSize : Uint8B 进程的虚拟内存大小的尖峰值

    300. +0x340 VirtualSize : Uint8B 进程的虚拟内存大小

    301. +0x348 SessionProcessLinks : _LIST_ENTRY 双向链表 当进程加入到系统会话中时 SessionProcessLinks作为一个节点加入到系统会话进程链表中

    302. +0x358 ExceptionPortData : Ptr64 Void 异常端口数据

    303. +0x358 ExceptionPortValue : Uint8B

    304. +0x358 ExceptionPortState : Pos 0, 3 Bits

    305. +0x360 Token : _EX_FAST_REF 指向该进程的访问令牌

    306. +0x368 MmReserved : Uint8B

    307. +0x370 AddressCreationLock : _EX_PUSH_LOCK 进程的守护互斥体锁 用于保护对地址空间的操作

    308. +0x378 PageTableCommitmentLock : _EX_PUSH_LOCK

    309. +0x380 RotateInProgress : Ptr64 _ETHREAD

    310. +0x388 ForkInProgress : Ptr64 _ETHREAD 指向正在复制地址空间的那个线程 只有在复制地址空间时此域才有值 其它时刻为NULL

    311. +0x390 CommitChargeJob : Ptr64 _EJOB

    312. +0x398 CloneRoot : _RTL_AVL_TREE 指向一个平衡树的根 当进程地址空间复制时 此树被创建 知道进程死亡

    313. +0x3a0 NumberOfPrivatePages : Uint8B 进程私有页面的数量

    314. +0x3a8 NumberOfLockedPages : Uint8B 被锁住的页面数量

    315. +0x3b0 Win32Process : Ptr64 Void 指向由Windows子系统管理的进程区域

    316. +0x3b8 Job : Ptr64 _EJOB

    317. +0x3c0 SectionObject : Ptr64 Void 进程的内存区对象

    318. +0x3c8 SectionBaseAddress : Ptr64 Void 内存区对象的基址

    319. +0x3d0 Cookie : Uint4B ;该进程的随机值

    320. +0x3d8 WorkingSetWatch : Ptr64 _PAGEFAULT_HISTORY 监视进程的页面错误

    321. +0x3e0 Win32WindowStation : Ptr64 Void ;进程所属的窗口站句柄

    322. +0x3e8 InheritedFromUniqueProcessId : Ptr64 Void 父进程的标识符

    323. +0x3f0 OwnerProcessId : Uint8B

    324. 

    325. +0x3f8 Peb : Ptr64 _PEB 指向用户模式的Peb

    326. +0x400 Session : Ptr64 _MM_SESSION_SPACE

    327. +0x408 Spare1 : Ptr64 Void

    328. +0x410 QuotaBlock : Ptr64 _EPROCESS_QUOTA_BLOCK;指向进程的配额快

    329. +0x418 ObjectTable : Ptr64 _HANDLE_TABLE 进程的句柄表

    330. +0x420 DebugPort : Ptr64 Void 调试端口

    331. +0x428 WoW64Process : Ptr64 _EWOW64PROCESS

    332. +0x430 DeviceMap : Ptr64 Void 指向进程使用的设备表

    333. +0x438 EtwDataSource : Ptr64 Void Etw数据源

    334. +0x440 PageDirectoryPte : Uint8B 顶级页目录页面的页表项

    335. +0x448 ImageFilePointer : Ptr64 _FILE_OBJECT 图像文件指针

    336. +0x450 ImageFileName : [15] UChar ;进程的映像名称

    337. +0x45f PriorityClass : UChar ;进程的优先级程度

    338. +0x460 SecurityPort : Ptr64 Void ;指向该进程与lsass进程之间的跨进程通信端口

    339. +0x468 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO ;创建进程时 指定的进程映像全路径名称 ImageFileName从中提取进程名

    340. +0x470 JobLinks : _LIST_ENTRY 双向链表 所有工作中的进程链表

    341. +0x480 HighestUserAddress : Ptr64 Void

    342. +0x488 ThreadListHead : _LIST_ENTRY 双向链表 进程中的所有线程

    343. +0x498 ActiveThreads : Uint4B 记录了当前进程有多少个活动线程 当该值等于0时 所有线程退出 进程随之退出

    344. +0x49c ImagePathHash : Uint4B

    345. +0x4a0 DefaultHardErrorProcessing : Uint4B 默认的硬件错误处理

    346. +0x4a4 LastThreadExitStatus : Int4B 进程的最后一个线程的退出状态

    347. +0x4a8 PrefetchTrace : _EX_FAST_REF 指向与该进程关联的预取痕迹结构

    348. +0x4b0 LockedPagesList : Ptr64 Void 指向LOCK_HEAD 该结构包含一个链表头 系统通过它知晓哪些物理页面被锁住

    349. +0x4b8 ReadOperationCount : _LARGE_INTEGER 记录进程NtReadFile被调用的次数

    350. +0x4c0 WriteOperationCount : _LARGE_INTEGER 记录进程NtWriteFile被调用的次数

    351. +0x4c8 OtherOperationCount : _LARGE_INTEGER 记录了除了读和写其他的Io服务被调用的次数

    352. +0x4d0 ReadTransferCount : _LARGE_INTEGER 记录了Io读操作完成的次数

    353. +0x4d8 WriteTransferCount : _LARGE_INTEGER 记录了Io写操作完成的次数

    354. +0x4e0 OtherTransferCount : _LARGE_INTEGER 记录了Io非读写操作完成的次数

    355. +0x4e8 CommitChargeLimit : Uint8B 已提交页面数量的限制值

    356. +0x4f0 CommitCharge : Uint8B 虚拟内存已提交的页面数量

    357. +0x4f8 CommitChargePeak : Uint8B 尖峰时刻已提交的页面数量

    358. +0x500 Vm : _MMSUPPORT_FULL 虚拟内存管理的重要结构

    359. +0x640 MmProcessLinks : _LIST_ENTRY 双向链表 指向所有拥有地址空间的进程

    360. +0x650 ModifiedPageCount : Uint4B 记录了进程中已修改页面的数量

    361. +0x654 ExitStatus : Int4B 退出状态

    362. +0x658 VadRoot : _RTL_AVL_TREE Vad根

    363. +0x660 VadHint : Ptr64 Void

    364. +0x668 VadCount : Uint8B

    365. +0x670 VadPhysicalPages : Uint8B Vad物理页面

    366. +0x678 VadPhysicalPagesLimit : Uint8B

    367. +0x680 AlpcContext : _ALPC_PROCESS_CONTEXT 阿尔卑斯语境

    368. +0x6a0 TimerResolutionLink : _LIST_ENTRY

    369. +0x6b0 TimerResolutionStackRecord : Ptr64 _PO_DIAG_STACK_RECORD

    370. +0x6b8 RequestedTimerResolution : Uint4B 请求的计时器分辨率

    371. +0x6bc SmallestTimerResolution : Uint4B 最小定时器分辨率

    372. +0x6c0 ExitTime : _LARGE_INTEGER 进程退出时间

    373. +0x6c8 InvertedFunctionTable : Ptr64 _INVERTED_FUNCTION_TABLE

    374. +0x6d0 InvertedFunctionTableLock : _EX_PUSH_LOCK

    375. +0x6d8 ActiveThreadsHighWatermark : Uint4B 活动线程高水印

    376. +0x6dc LargePrivateVadCount : Uint4B 大型私人炫耀

    377. +0x6e0 ThreadListLock : _EX_PUSH_LOCK 线程列表锁

    378. +0x6e8 WnfContext : Ptr64 Void Wnf上下文

    379. +0x6f0 ServerSilo : Ptr64 _EJOB 服务器思洛存储器

    380. +0x6f8 SignatureLevel : UChar

    381. +0x6f9 SectionSignatureLevel : UChar

    382. +0x6fa Protection : _PS_PROTECTION

    383. +0x6fb HangCount : Pos 0, 3 Bits

    384. +0x6fb GhostCount : Pos 3, 3 Bits

    385. +0x6fb PrefilterException : Pos 6, 1 Bit

    386. +0x6fc Flags3 : Uint4B

    387. +0x6fc Minimal : Pos 0, 1 Bit 最小的

    388. +0x6fc ReplacingPageRoot : Pos 1, 1 Bit 替换页面根目录

    389. +0x6fc Crashed : Pos 2, 1 Bit 坠毁

    390. +0x6fc JobVadsAreTracked : Pos 3, 1 Bit 跟踪工作VAD

    391. +0x6fc VadTrackingDisabled : Pos 4, 1 Bit 禁用Vad跟踪

    392. +0x6fc AuxiliaryProcess : Pos 5, 1 Bit 辅助过程

    393. +0x6fc SubsystemProcess : Pos 6, 1 Bit 子系统进程

    394. +0x6fc IndirectCpuSets : Pos 7, 1 Bit 间接使用

    395. +0x6fc RelinquishedCommit : Pos 8, 1 Bit 放弃承诺

    396. +0x6fc HighGraphicsPriority : Pos 9, 1 Bit 高图形优先级

    397. +0x6fc CommitFailLogged : Pos 10, 1 Bit 提交失败日志

    398. +0x6fc ReserveFailLogged : Pos 11, 1 Bit 保留失败日志

    399. +0x6fc SystemProcess : Pos 12, 1 Bit 系统过程

    400. +0x6fc HideImageBaseAddresses : Pos 13, 1 Bit 隐藏图像基地址

    401. +0x6fc AddressPolicyFrozen : Pos 14, 1 Bit 地址策略冻结

    402. +0x6fc ProcessFirstResume : Pos 15, 1 Bit 先处理后恢复/处理第一次恢复

    403. +0x6fc ForegroundExternal : Pos 16, 1 Bit 前景外部

    404. +0x6fc ForegroundSystem : Pos 17, 1 Bit 前景系统

    405. +0x6fc HighMemoryPriority : Pos 18, 1 Bit 高内存优先级

    406. +0x6fc EnableProcessSuspendResumeLogging : Pos 19, 1 Bit 启用进程挂起恢复日志记录

    407. +0x6fc EnableThreadSuspendResumeLogging : Pos 20, 1 Bit

    408. +0x6fc SecurityDomainChanged : Pos 21, 1 Bit 安全域已更改

    409. +0x6fc SecurityFreezeComplete : Pos 22, 1 Bit

    410. +0x6fc VmProcessorHost : Pos 23, 1 Bit 虚拟机处理器主机

    411. +0x700 DeviceAsid : Int4B 装置酸

    412. +0x708 SvmData : Ptr64 Void 支持向量机数据

    413. +0x710 SvmProcessLock : _EX_PUSH_LOCK 支持向量机进程锁

    414. +0x718 SvmLock : Uint8B 支持向量机锁

    415. +0x720 SvmProcessDeviceListHead : _LIST_ENTRY

    416. +0x730 LastFreezeInterruptTime : Uint8B 上次冻结中断时间

    417. +0x738 DiskCounters : Ptr64 _PROCESS_DISK_COUNTERS 磁盘计数器

    418. +0x740 PicoContext : Ptr64 Void 上下文

    419. +0x748 EnclaveTable : Ptr64 Void 飞地

    420. +0x750 EnclaveNumber : Uint8B

    421. +0x758 EnclaveLock : _EX_PUSH_LOCK

    422. +0x760 HighPriorityFaultsAllowed : Uint4B

    423. +0x768 EnergyContext : Ptr64 _PO_PROCESS_ENERGY_CONTEXT

    424. +0x770 VmContext : Ptr64 Void

    425. +0x778 SequenceNumber : Uint8B 序列号

    426. +0x780 CreateInterruptTime : Uint8B 创建中断时间

    427. +0x788 CreateUnbiasedInterruptTime : Uint8B

    428. +0x790 TotalUnbiasedFrozenTime : Uint8B 总无偏冻结时间

    429. +0x798 LastAppStateUpdateTime : Uint8B 上次AppState更新时间

    430. +0x7a0 LastAppStateUptime : Pos 0, 61 Bits

    431. +0x7a0 LastAppState : Pos 61, 3 Bits 上次应用程序状态

    432. +0x7a8 SharedCommitCharge : Uint8B 共享提交费用

    433. +0x7b0 SharedCommitLock : _EX_PUSH_LOCK 共享提交锁

    434. +0x7b8 SharedCommitLinks : _LIST_ENTRY

    435. +0x7c8 AllowedCpuSets : Uint8B

    436. +0x7d0 DefaultCpuSets : Uint8B

    437. +0x7c8 AllowedCpuSetsIndirect : Ptr64 Uint8B

    438. +0x7d0 DefaultCpuSetsIndirect : Ptr64 Uint8B

    439. +0x7d8 DiskIoAttribution : Ptr64 Void

    440. +0x7e0 DxgProcess : Ptr64 Void

    441. +0x7e8 Win32KFilterSet : Uint4B

    442. +0x7f0 ProcessTimerDelay : _PS_INTERLOCKED_TIMER_DELAY_VALUES 进程计时器延迟

    443. +0x7f8 KTimerSets : Uint4B

    444. +0x7fc KTimer2Sets : Uint4B

    445. +0x800 ThreadTimerSets : Uint4B

    446. +0x808 VirtualTimerListLock : Uint8B

    447. +0x810 VirtualTimerListHead : _LIST_ENTRY

    448. +0x820 WakeChannel : _WNF_STATE_NAME

    449. +0x820 WakeInfo : _PS_PROCESS_WAKE_INFORMATION 唤醒信息

    450. +0x850 MitigationFlags : Uint4B

    451. +0x850 MitigationFlagsValues :

    452. +0x854 MitigationFlags2 : Uint4B

    453. +0x854 MitigationFlags2Values :

    454. +0x858 PartitionObject : Ptr64 Void

    455. +0x860 SecurityDomain : Uint8B

    456. +0x868 ParentSecurityDomain : Uint8B 父安全域

    457. +0x870 CoverageSamplerContext : Ptr64 Void

    458. +0x878 MmHotPatchContext : Ptr64 Void Mm热补丁上下文
    复制代码


    回复

    使用道具 举报

    李醫師

    该用户从未签到

    0

    主题

    74

    帖子

    148

    积分

    注册会员

    Rank: 2

    积分
    148
    发表于 2024-3-25 00:14:22 | 显示全部楼层
    支持学习，感谢楼主啊
    回复

    使用道具 举报

    低吟归去兮

    该用户从未签到

    1

    主题

    93

    帖子

    186

    积分

    注册会员

    Rank: 2

    积分
    186
    发表于 2024-3-25 00:42:08 | 显示全部楼层
    thanks for share
    回复

    使用道具 举报

    空浩

    该用户从未签到

    0

    主题

    342

    帖子

    678

    积分

    高级会员

    Rank: 4

    积分
    678
    发表于 2024-3-25 09:53:34 | 显示全部楼层
    感谢分享，超想学的！！！
    回复

    使用道具 举报

    DreamDancer

    该用户从未签到

    0

    主题

    118

    帖子

    245

    积分

    中级会员

    Rank: 3Rank: 3

    积分
    245
    发表于 2024-3-26 05:16:58 | 显示全部楼层
    感谢分享~......
    回复

    使用道具 举报

    max

    该用户从未签到

    1

    主题

    63

    帖子

    136

    积分

    注册会员

    Rank: 2

    积分
    136
    发表于 2024-3-26 12:57:34 | 显示全部楼层
    支持一下。
    回复

    使用道具 举报

    晓乐

    该用户从未签到

    0

    主题

    290

    帖子

    579

    积分

    高级会员

    Rank: 4

    积分
    579
    发表于 2024-3-26 20:03:20 | 显示全部楼层
    支持一下支持
    回复

    使用道具 举报

    八爪章鱼

    该用户从未签到

    0

    主题

    342

    帖子

    678

    积分

    高级会员

    Rank: 4

    积分
    678
    发表于 2024-3-27 01:23:43 | 显示全部楼层
    学习一下，感谢分享资料
    回复

    使用道具 举报

    暗夜使者

    该用户从未签到

    0

    主题

    134

    帖子

    275

    积分

    中级会员

    Rank: 3Rank: 3

    积分
    275
    发表于 2024-3-27 05:08:39 | 显示全部楼层
    感谢热心楼主。
    回复

    使用道具 举报

    相逢依旧

    该用户从未签到

    0

    主题

    62

    帖子

    124

    积分

    注册会员

    Rank: 2

    积分
    124
    发表于 2024-3-27 12:55:24 | 显示全部楼层
    学习一下
    回复

    使用道具 举报

    下一页 »
    1234下一页
    返回列表 发新帖
    高级模式
    B Color Image Link Quote Code Smilies
    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    快速回复 返回顶部 返回列表