懂汇编内存CE的大佬能进来瞧瞧么

wtflxk

当初学这玩意完全是为了兴趣。

学习了这么久，感觉知识越来越不够用

网上也有各种各样的视频 也花了很多时间去学习，但是受于水平 老师们讲的东西 有时候是真心看不懂。

只能是自己理解了才能看个马马虎虎。结果回过头来能马虎看懂了 又找不到当初那些学习资料了 真坑

比如现在：
用易写了个简单的程序 在CE里面完全找不到真实的地址。

一个人自己硬刚 是真心难哪！

我自己找来找去，找到的永远是个动态地址


不知道有没有好心的老师能进来指点指点 怎么才能找到这个变量的真实写入地址

搞这个完全是个人兴趣 并不涉及任何商业行为。如果您不方便指点 也请嘴下留德 先行谢谢各位








学习.e (7.85 KB, 下载次数: 4)

2023-5-17 10:39 上传

点击文件名下载附件

laodan

laodan 发表于 2023-5-17 11:30
jz：1.exe+32F8，字节为：FF 35 F0 02 D2 01  这个为动态

其中 FF35代表汇编码push。

其中：1.exe+32F8，这个地址是根据软件走的，你如果将源码重要编译为独立编译，这个jz是会变动的。
比如我用你的源码编译，结果为1.exe+92F8。

laodan

1、走内存特征码定位模式，缺点是寻找慢一些。
2、你这个是动态地址，找jz吧，jz走偏移。没有软件，无法帮你

laodan

你给的源码，寻找到的地址是jz+偏移。
但不确定你的那个为什么是动态。

wtflxk

laodan 发表于 2023-5-17 10:55
你给的源码，寻找到的地址是jz+偏移。
但不确定你的那个为什么是动态。
...

我也很好奇 为什么我这里是动态的

laodan

ncagzs 发表于 2023-5-17 11:00
我也很好奇 为什么我这里是动态的

你把你编译的EXE发一下吧，我给你看看。

wtflxk

laodan 发表于 2023-5-17 11:01
你把你编译的EXE发一下吧，我给你看看。

学习.zip (2.92 KB, 下载次数: 3)

2023-5-17 11:05 上传

点击文件名下载附件
这是我编译的 未静态编译的

laodan

ncagzs 发表于 2023-5-17 11:06
这是我编译的 未静态编译的

你这个软件走的独立编译，未静态编译，静态编译可以直接定出偏移，独立编译我给你看看。

wtflxk

laodan 发表于 2023-5-17 11:08
你这个软件走的独立编译，未静态编译，静态编译可以直接定出偏移，独立编译我给你看看。 ...

静态编译 确实是个静态的地址。问题是遇到不是静态的 该如何解决呢

laodan

jz：1.exe+32F8，字节为：FF 35 F0 02 D2 01  这个为动态

其中 FF35代表汇编码push。

剩下的字节反转一下为：01D202F0

其中01D202F0 数值为：29995

这个应该是软件启动时分配了一个内存空间，01D20000，偏移 2F0。

但是这个内存空间不好找。

但是在按钮处调用了这个过程，直接怼汇编即可。