FS:0与FS:[0]

来源：互联网发布：淘宝上哪个冒菜好吃编辑：程序博客网时间：2024/05/22 15:21

原始出处已经不清楚了.

FS:0指向线程环境块TEB；
FS:[0]指向当前线程的结构化异常处理结构(SEH)；

FS:0指向TEB的理解应该是:
TEB结构存放于FS段从0开始的位置，整个TEB结构数据在FS段中；

FS:[0]指向当前线程的结构化异常处理结构的理解应该是:
在FS:0所指向的TEB结构中，第一个元素指向当前线程的结构化异常处理结构，而这个结构存在与DS段中；

部分TEB如下：

ntdll!_TEB
struct _TEB, 66 elements, 0xfb8 bytes
   +0x000 NtTib            : struct _NT_TIB, 8 elements, 0x1c bytes
      +0x000 ExceptionList    : Ptr32 to struct _EXCEPTION_REGISTRATION_RECORD,2 elements, 0x8 bytes
         +0x000 Next             : Ptr32 to struct _EXCEPTION_REGISTRATION_RECORD, 2 elements, 0x8 bytes
         +0x004 Handler          : Ptr32 to           _EXCEPTION_DISPOSITION
      +0x004 StackBase        : Ptr32 to Void
      +0x008 StackLimit       : Ptr32 to Void
      +0x00c SubSystemTib     : Ptr32 to Void
      +0x010 FiberData        : Ptr32 to Void
      +0x010 Version          : Uint4B
...........................................
............................................
而下面两条指令可以看出其差异吧：

MOV EAX,FS:0==>EAX=0(SoftICE中)
MOV EAX,FS:[0]==>EAX=指向SEH的指针，如0x0012FFB0

0 0