读取内存查看地址

缺１份矜持ゝ · 发表于 2024-1-10 09:44:13

如图. 我知道360ChromeX.exe+8D8A4 这个地址.
如何通过读取内存之类的方式知道360ChromeX.exe+153E30 .这个153E30 呢..

dnxl · 发表于 2024-1-10 09:44:14

缺１份矜持ゝ发表于 2024-1-10 15:32
服. 一点看不懂. 为什么+3得0x0c6585

补充内容 (2024-1-10 15:34):

360ChromeX.exe+8D8A4 字节码

QQ截图20240110155539.jpg

48 D8 05 也就是 lea rax,[xxxx]
85 65 0C 00 就是个相对偏移把这个读出来就是(360ChromeX.exe+8D8A4 + 3 读4字节） 0x000C6585 = DWORD[360ChromeX.exe+8D8A4 + 3] = 0x0c6585
48 D8 05 85650C00 指令长度是7字节
把读出来的相对偏移变成绝对地址再加上指令长度就是下面这样

指令所在位置 + 相对偏移 + 指令长度 = 360ChromeX.exe+8D8A4 + 0x0c6585 + 7 = 360ChromeX.exe+153E30

迷和离 · 发表于 2024-1-10 09:52:54

读 360ChromeX.exe+8D8A4 内存字节集，里面有360ChromeX.exe+153E30指向的地址。然后减去360ChromeX.exe基地址。偏移就出来了。32位是这样的，我估计64位也是这样。

㠫孬嫑夯芘 · 发表于 2024-1-10 10:31:39

直接读360ChromeX.exe模块，加偏移8D8A4

缺１份矜持ゝ · 发表于 2024-1-10 13:19:25

迷和离发表于 2024-1-10 09:52
读 360ChromeX.exe+8D8A4 内存字节集，里面有360ChromeX.exe+153E30指向的地址。然后减去360ChromeX.exe基 ...

能否给个历程呢 .感觉还是不行.读取的好像都是里面地址. 而且减去模块地址也不等于153E30

迷和离 · 发表于 2024-1-10 14:17:11

缺１份矜持ゝ发表于 2024-1-10 13:19
能否给个历程呢 .感觉还是不行.读取的好像都是里面地址. 而且减去模块地址也不等于153E30 ...

好像里面的内容还真和32位的不一样，不太了解64位的内存，你找找相关的64位反编译资料

dnxl · 发表于 2024-1-10 15:25:07

[360ChromeX.exe+8D8A4 + 3] = 0x0c6585
360ChromeX.exe+8D8A4 + 0x0c6585 + 7 = 360ChromeX.exe+153E30

补充内容 (2024-1-10 15:26):
口算都算出来

缺１份矜持ゝ · 发表于 2024-1-10 15:32:48

dnxl 发表于 2024-1-10 15:25
[360ChromeX.exe+8D8A4 + 3] = 0x0c6585
360ChromeX.exe+8D8A4 + 0x0c6585 + 7 = 360ChromeX.exe+153E30

服. 一点看不懂. 为什么+3得0x0c6585

补充内容 (2024-1-10 15:34):
主要怎么读取.- - 得到那个

		自动登录	找回密码
密码			注册

[完成] 读取内存查看地址

最佳答案