목록kprocess (1)

Hongfluenza

EPROCESS,PEB,KPROCESS

프로세스가 처음 실행될 때 커널 메모리에 해당 프로세스의 정보를 지닌 구조체를 생성한다. 때문에 모든 프로세스는 각각의 Eprocess 구조체를 가진다. 또한, 프로세스에서 실행하고 있는 Thread의 갯수만큼 ETHREAD 구조체를 커널 메모리에 갖는다. Eprocess란 - EProcess(Executive Process)는 윈도우에서 프로세스라고 불리는 커널 오브젝트를 대표한다. - 윈도우의 관점에서 프로세스란 바로 이 구조체를 의미하며, 프로세스를 종료한다는 것은 이 구조체에 대한 포인터 값을 관련 링크드 리스트에서 삭제하는 것을 의미한다. - 이 구조체 안에는 시스템이 프로세스를 실행하고 관리하기 위해 필요한 모든 정보가 들어있다. PEB와 EProcess의 차이점 - PEB : User Mod..
STUDY/FORENSIC 2019. 1. 26. 21:48
이전 Prev 1 Next 다음