在Windows中，无法直接通过API读取进程环境变量，需要通过PEB（进程环境块）实现。PEB结构复杂，且不同Windows版本存在差异。获取环境变量需通过一系列API调用，包括获取进程ID、句柄和读取内存等。示例脚本展示了如何使用PowerShell读取PEB中的环境变量，但兼容性较差。
本文分析了一种恶意DLL加载技术，利用合法软件执行恶意代码。通过回调机制和内存保护修改，恶意代码得以运行。研究发现，恶意DLL通过篡改加载顺序实现木马功能，并采用反沙箱检测。最终，利用回调函数触发恶意代码执行，展示了API哈希匹配和内存管理的复杂性。
PEB（进程环境块）是存储进程信息的数据结构，包含已加载模块的链表。获取PEB指针的方法包括调试器视图和内存布局分析。动态API解析通过PEB获取kernel32.dll的基地址，解析PE头，定位导出目录，最终获取函数地址，这对shellcode编写至关重要。
Windows下通过PEB读取进程的环境变量
完成下面两步后，将自动完成登录并继续当前操作。
