找个人帮忙写一下 通过内存地址锁定模块名+偏移

疲惫小老弟

内存_写字节集 (进程ID,“76834650”, 还原字节集 (“C9 C3 90”))
内存_写字节集 (进程ID,“76829910”, 还原字节集 (“C9 C3”))
内存_写字节集 (进程ID,“77784040”, 还原字节集 (“C9 C3”))
内存_写字节集 (进程ID,“425C70”, 还原字节集 (“C3”))
内存_写字节集 (进程ID,“DD8E02”, 还原字节集 (“C3”))

内存_写字节集 (进程ID,“B84F249”, 还原字节集 (“B8 01 00 00 00 C3 90 90 90”))
内存_写字节集 (进程ID,“2111B9E”, 还原字节集 (“B8 00 06 40 00 C9 C3 90 90”))
内存_写字节集 (进程ID,“B855AB6”, 还原字节集 (“B8 00 06 40 00 C9 C3 90 90”))

这内存地址是通过特征码搜出来的   但是有的程序是在模块中运行   能搜到  但是返回的是十六进制的内存地址

如何通过地址   给锁定准确的模块地址    然后内存地址+模块地址

得出完整写法  就像下方图片一样

哪位能帮忙的  直接给出写法   要什么例子工具的我都提供   想破脑子研究了好久没研究出来要咋写

从前的少年

进程_取模块jz.e (8.12 KB, 下载次数: 13)

2024-3-10 16:22 上传

点击文件名下载附件 没测试过64位程序，但方法都一样

菊部变暖

先遍历出每个模块的地址范围，然后判断搜索到的地址在哪个模块的范围内，最后减去那个模块的头就得到偏移了

疲惫小老弟

菊部变暖 发表于 2024-3-10 11:44
先遍历出每个模块的地址范围，然后判断搜索到的地址在哪个模块的范围内，最后减去那个模块的头就得到偏移了 ...

遍历会   但是如何判断这个在哪个模块范围就有点不会了啊

菊部变暖

疲惫小老弟 发表于 2024-3-10 12:14
遍历会   但是如何判断这个在哪个模块范围就有点不会了啊

如果真（地址>头 且 地址<尾）

一C

系统DLL我记得不都是静态的吗

天刀

有偿没 有的话发私信联系方式 我给你些

XIAN

不如直接特征码定位还不是更简单