GetVersion与GetVersionExW/A_rtlgetversionex-CSDN博客

本文详细解析了Windows内核API GetVersion 和 GetVersionEx 的工作原理及其实现方式，展示了如何通过读取进程环境块（PEB）来获取操作系统版本等信息。

1. GetVersion

GetVersion 的实现如下：

7C81127A > 64:A1 18000000 mov eax, dword ptr fs:[18] ; 取TEB 7C811280 8B48 30 mov ecx, dword ptr [eax+30] ; 取PEB 7C811283 8B81 B0000000 mov eax, dword ptr [ecx+B0] ; 取OSPlatformId 7C811289 0FB791 AC000000 movzx edx, word ptr [ecx+AC]; 取OSBuildNumber 7C811290 83F0 FE xor eax, FFFFFFFE 7C811293 C1E0 0E shl eax, 0E 7C811296 0BC2 or eax, edx 7C811298 C1E0 08 shl eax, 8 7C81129B 0B81 A8000000 or eax, dword ptr [ecx+A8] ; 取OSMinorVersion 7C8112A1 C1E0 08 shl eax, 8 7C8112A4 0B81 A4000000 or eax, dword ptr [ecx+A4] ; 取OSMajorVersion 7C8112AA C3 retn

2. GetVersionExW/A

GetVersionExA调用GetVersionExW，而GetVersionExW则是调用RtlGetVersion，RtlGetVersion如下：

7C939673 64:A1 18000000 mov eax, dword ptr fs:[18] 7C939679 8B78 30 mov edi, dword ptr [eax+30] 7C93967C 8B87 A4000000 mov eax, dword ptr [edi+A4] 7C939682 8B75 08 mov esi, dword ptr [ebp+8] 7C939685 8946 04 mov dword ptr [esi+4], eax 7C939688 8B87 A8000000 mov eax, dword ptr [edi+A8] 7C93968E 8946 08 mov dword ptr [esi+8], eax 7C939691 0FB787 AC000000 movzx eax, word ptr [edi+AC] 7C939698 8946 0C mov dword ptr [esi+C], eax 7C93969B 8B87 B0000000 mov eax, dword ptr [edi+B0] 7C9396A1 8946 10 mov dword ptr [esi+10], eax 7C9396A4 8B87 F4010000 mov eax, dword ptr [edi+1F4]

可以看出其也是读取PEB中的字段