如何处理访问外国TIB？

Question

是否有可能（以及如何）访问某个其他进程的线程的线程信息块？

Answer 1

有可能。

第一步是使用NtQueryInformationThread函数并将 ThreadInformationClass 设置为ThreadBasicInformation来获取线程信息块的地址。 THREAD_BASIC_INFORMATION结构包含指向线程TEB的指针。然后，您可以使用ReadProcessMemory和WriteProcessMemory来阅读或修改TEB的内容。