有没有大神知道怎么转换的

2669092433 · 发表于 2025-1-4 23:28:57

比如内存地址是 00660101 获取的字节集是 E8 AAF8DDFF 指令是 CALL 0043F9B0
如何根据地址 00660101 来得到 0043F9B0

源于互联 · 发表于 2025-1-5 00:18:14

用特征码定位吧

尛龍科技 · 发表于 2025-1-5 01:37:35

这就是地址+偏移=0043F9B0
内存地址=00660101
偏移地址=E8 AAF8DDFF
最终地址=0043F9B0
先了解下这个过程吧，地址就不说了，直接细说下这个偏移吧，偏移E8 AAF8DDFF， E8是一个相对调用指令，长度为 5 字节（E8 加上 4 个字节的偏移量）
当前指令地址是 00660101，因此下一条指令的地址是：00660101+5=00660106
偏移量是 AAF8DDFF，由于x86 架构使用小端序（little-endian），所以实际的 32 位偏移量应为 FFD8F8AA
将偏移量转换为有符号数FFD8F8AA的有符号十进制值为 -125835255
计算实际调用地址：00660106−125835255=0043F9B0
因此，根据地址00660101和字节集E8 AAF8DDFF可以得到实际调用地址0043F9B0