本文主要是介绍【Windows 逆向】使用 CE 工具挖掘关键数据内存真实地址 ( 数据查找技巧 | 地址访问调试 | 指令选择技巧 | MOV 汇编指令含义 | 基址值搜索 ) ★,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
文章目录
- 一、查找动态地址
- 二、静态地址查找技巧
- 1、地址访问调试
- 2、指令选择技巧
- 3、MOV 汇编指令含义
- 4、基址值搜索
一、查找动态地址
以查找子弹数量内存为例 , 参考 【Windows 逆向】使用 CE 工具挖掘关键数据内存真实地址 ( 查找子弹数据的动态地址 | 查找子弹数据的静态地址 | 静态地址分析 | 完整流程 ) ★ 一、查找子弹数据临时内存地址 博客章节 ;
首先 , 查找到子弹数据的 动态地址 05A59544
, 该步骤很容易 , 多次扫描内存 , 最后使用二分法 , 逐步找到最终的内存地址 ;
然后 , 就是根据 动态地址 05A59544
, 查找到该动态地址是如何计算出来的 ;
二、静态地址查找技巧
根据动态地址 , 查找对应的静态地址 , 以及 寻址 , 偏移 过程 ;
1、地址访问调试
右键点击该地址 , 选择 " 找出是什么访问了这个地址 F5 " 选项 , 就可以对该地址进行调试 , 查询哪个指令为该地址进行了赋值操作 , 也就是 子弹的个数 int 类型数据 是怎么写进去的 ;
也可以左键点击 , 选中该地址 , 直接按 F5 快捷键 ,
此时 , 可以查询 , 哪些汇编指令 , 访问了 子弹数据的 动态地址 05A59544
;
2、指令选择技巧
选择指令的技巧 : 选择指令时 , 不会任意选择的 , 而是有一定的技巧 ;
优先选择
MOV 寄存器 , [寄存器 + 立即数]
格式的指令 , 进行基址查询 ;
在上述类型的指令中 , 优先选择
MOV EAX , [寄存器 + 立即数]
样式的指令 , 大部分游戏中的寄存器都是使用的 EAX 寄存器 ;
第一条指令 , 就符合上述要求 , 那么展开分析第一条指令 ;
指针基址可能是 =05A59478
05C1C0ED - mov eax,[esi+000000CC]
EAX=00000050
EBX=0E1DBB70
ECX=00000000
EDX=00000001
ESI=05A59478
EDI=00000001
EBP=00000000
ESP=0019F2F0
EIP=05C1C0F3指针基址可能是 =05A5947805C1C0E6 - je mp.CBasePlayerItem::DestroyItem+20D
05C1C0E8 - mov ecx,00000001
05C1C0ED - mov eax,[esi+000000CC]
05C1C0F3 - mov edx,[esi+000000D0]
05C1C0F9 - cmp eax,edx
3、MOV 汇编指令含义
MOV 指令格式 : 将 SRC 数值,写入到 DST 位置 ;
MOV DST,SRC
mov eax,[esi+000000CC]
汇编代码和含义 :
[esi+000000CC]
是 基址变址寻址 , 取出 esi 寄存器的值 05A59478
, 与 CC
相加 , 得到一个地址 05A59544
, 这个地址就是子弹数据的地址 , 读取该地址中的值 , 写入到 EAX 寄存器中 ;
从上述汇编代码中 , 可以知道 , 子弹数据的动态地址 05A59544
, 是由 基址 05A59478
加上立即数 CC
得来的 ;
4、基址值搜索
那么基址 05A59478
又是如何得来的呢 ;
搜索 基址值 所在内存位置 : 那么后续在整个内存中 , 搜索这个基址 05A59478
值 , 查询该值所在的地址 ;
F5 调试 基址值 如何计算得到的 : 然后查询该地址的值是哪条汇编指令计算出来的 , 需要使用 F5 调试 , 选择一条汇编指令进行分析 , 汇编指令选择方法 : 优先选择 MOV EAX , [寄存器 + 立即数]
样式的汇编指令 ;
这篇关于【Windows 逆向】使用 CE 工具挖掘关键数据内存真实地址 ( 数据查找技巧 | 地址访问调试 | 指令选择技巧 | MOV 汇编指令含义 | 基址值搜索 ) ★的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!