通过遍历PEB在纯Shellcode中调用calc.exe

PEB（进程环境块）是存储进程信息的数据结构，包含已加载模块的链表。

获取PEB指针的方法包括调试器视图和内存布局分析。

PEB指针位于TEB（线程环境块）中，TEB指针在x86系统的fs:[0x18]和x64系统的gs:[0x30]。

动态API解析通过PEB获取kernel32.dll的基地址，解析PE头，定位导出目录，最终获取函数地址。

PEB_LDR_DATA结构管理已加载模块，包含三个双向链表用于跟踪模块的加载顺序。

分析PE头部结构，包括_IMAGE_DOS_HEADER和_IMAGE_NT_HEADERS，验证PE文件签名并定位导出目录。

手动解析API地址的过程包括获取kernel32.dll基地址，解析PE结构，查找导出表中的函数名。

使用GetProcAddress获取LoadLibraryA地址，重复步骤解析WinExec、ExitProcess等函数。