懂汇编内存CE的大佬能进来瞧瞧么

wtflxk · 发表于 2023-5-17 11:35:26

laodan 发表于 2023-5-17 11:30
jz：1.exe+32F8，字节为：FF 35 F0 02 D2 01 这个为动态

其中 FF35代表汇编码push。

我一开始其实是拿奇迹登陆器练手的找到最后好像就是找到一个PUSH 然后就没有然后了。。

汇编就不行了知识储备几乎完全为零

laodan · 发表于 2023-5-17 11:37:09

ncagzs 发表于 2023-5-17 11:35
我一开始其实是拿奇迹登陆器练手的找到最后好像就是找到一个PUSH 然后就没有然后了。。

汇编就不行了 ...

jz：1.exe+32F8，字节为：FF 35 F0 02 D2 01 这个为动态

其中 FF35代表汇编码push。

剩下的字节反转一下为：01D202F0

第一个内存为01D202F0，第二个偏移加4，为01D202F4

至此，两个内存地址全都找到。

内存找不到的话就怼汇编呗。只要有调用。

liuyun60 · 发表于 2023-5-17 11:55:38

如果是直接PUSH的一个地址那么这个地址就可以认为是静态的，如果是PUSH的寄存器那就得继续往上找

wtflxk · 发表于 2023-5-17 14:08:32

liuyun60 发表于 2023-5-17 11:55
如果是直接PUSH的一个地址那么这个地址就可以认为是静态的，如果是PUSH的寄存器那就得继续往上找 ...

老师您好，找到这样的对么

liuyun60 · 发表于 2023-5-17 14:20:19

ncagzs 发表于 2023-5-17 14:08
老师您好，找到这样的对么

edx是寄存器，肯定不对咯，继续找edx也就是2FE5AB4,可以直接搜索这个值，也可以加到地址栏看谁访问了该地址

wtflxk · 发表于 2023-5-17 14:46:43

本帖最后由 ncagzs 于 2023-5-17 14:51 编辑

liuyun60 发表于 2023-5-17 14:20
edx是寄存器，肯定不对咯，继续找edx也就是2FE5AB4,可以直接搜索这个值，也可以加到地址栏看谁访问了该地 ...

我每次找到这里【02FE5AB4】就什么也找不到了这个变量没有写入操作像这种有没有好一点的办法找到呢

liuyun60 · 发表于 2023-5-17 15:03:05

ncagzs 发表于 2023-5-17 14:46
我每次找到这里【02FE5AB4】就什么也找不到了这个变量没有写入操作像这种有没有好一点的办法找到呢
...

加到地址栏查看汇编

		自动登录	找回密码
密码			注册

[已解决] 懂汇编内存CE的大佬能进来瞧瞧么