软件调试笔记10 - Windows概要：进程结构：令牌，PEB，ID, 句柄

访问令牌： TOKEN字段记录着这个进程的TOKEN结构地址，进程很多与安全有关的信息都在这个结构中。找到TOKEN字段值，然后用!Token命令查看。 也可以用dt nt!_TOKEN加上令牌地址来观察令牌对象。 PEB： PEB即进程环境块，包含了进程的大多数用户态信息。与EPROCESS结构位于内核空间的不同，PEB是在内核态建立后映射到用户空间的，因此在一个系统中，多个进程的PEB地址可能

>>阅读原文<<