CE读取到的内存地址在OD里面搜不到，而且每次都变

zl0237 · 发表于 2020-2-5 03:05

本帖最后由 zl0237 于 2020-2-5 03:42 编辑

EXE是皇家守卫军的一个版本，用CE搜金币地址找到0F779C6A这个地址，如下图，SUB ECX,[EBP+0C]是建造减少金币。CE修改成ADD后有效果，说明地址应该没错。

CE搜到到内存地址

我用OD载入EXE后发现最大地址00C1CFFF，根本找不到0F779C6A这个内存地址。

OD载入EXE到程序入口点

OD能看到到最大地址

开始以为是随机基址的问题，用010 EDITOR修改了EXE的WORD IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE 项的值为0 ，发现还是随机内存地址，OD找不到的地址，不知道是哪里没修改导致到这个问题。请各位帮忙看一下。谢谢

010EDITOR修改的项

下图就是PEID查出来的EXE信息。麻烦各位看一下是哪个位置没修改导致的随机内存地址。谢谢

PEID查看EXE相关信息

EXE下载地址：https://www.lanzouj.com/i9275ve

花好s月圆 · 发表于 2020-2-5 08:05

地址不一定在exe中。有可能在dll中。点击OD里面的E按钮（模块）。根据模块的起始地址和模块大小，可以计算出你想要的地址在哪个模块中。

天空藍 · 发表于 2020-2-5 04:08

这些不是基址，所以，每次重起都会改变。
保留特征码应该就能找到了。
基址的颜色是绿色不是黑色。

爱飞的猫 · 发表于 2020-2-5 05:03

Kingdom Rush_Data\Managed\Assembly-CSharp.dll

Unity 游戏… 你用这个能找到就有鬼了。

庞晓晓 · 发表于 2020-2-5 08:43

提示: 作者被禁止或删除内容自动屏蔽

zl0237 · 发表于 2020-2-5 21:58

天空藍发表于 2020-2-5 04:08
这些不是基址，所以，每次重起都会改变。
保留特征码应该就能找到了。
基址的颜色是绿色不是黑色。

感谢回复

zl0237 · 发表于 2020-2-5 22:03

花好s月圆发表于 2020-2-5 08:05
地址不一定在exe中。有可能在dll中。点击OD里面的E按钮（模块）。根据模块的起始地址和模块大小，可以计算 ...

感谢提示

zl0237 · 发表于 2020-2-5 23:19

jixun66 发表于 2020-2-5 05:03
Kingdom Rush_Data\Managed\Assembly-CSharp.dll

Unity 游戏… 你用这个能找到就有鬼了。

感谢大牛解答

帐号		自动登录	找回密码
密码			注册[Register]

庞晓晓庞晓晓当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	庞晓晓发表于 2020-2-5 08:43 提示: 作者被禁止或删除内容自动屏蔽
庞晓晓庞晓晓当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	如何快速判断一个文件是否为病毒！
	回复支持举报

[求助] CE读取到的内存地址在OD里面搜不到，而且每次都变