2

Имеется библиотека с разного рода функциями, мне в этой библиотеки необходимо изменить 1 из функций .

Для поиска нужной функции я использовал IDA, которая мне выдала конкретный статичный адрес нужной мне функции - 0x1008F870 img;

Но при запуске программы, по этому адресу - ничего нету.По какой причине это происходит ? В более ранних версиях этой же самой библиотеки, таких проблем нету, тот адрес что выдает ида можно использовать для инжекта. И если это своего рода динамичное построение, то каким образом IDA выдала именно такой адрес? Либо если это своего рода защита, как ее можно обойти ?И как мне тогда определить реальный адрес функции, который идет в память.

Я так же пытался ставить хук на Href .text:1008F870 sub_1008F870 proc near ; DATA XREF: .rdata:101B4C3Co Но это никакого результата не дало

19
  • IDA показывает вам виртуальный адрес, который соответствует ImageBase из заголовка файла. DLL может на раз грузиться по адресу, отличному от ImageBase и, соответственно, будет другой адрес. Пробуйте отнять от 0x1008F870 базовый адрес из заголовка и прибавить к этому реальный адрес загрузки DLL. Commented 6 февр. 2016 в 15:13
  • @ВладимирМартьянов а как примерно выглядит базовый адрес и где он храниться ?, + на счет реального адреса вы имейте ввиду узнать его через тот же CheatEngine ? Нету ли какого то полного примера где пошагово видно что и как берется ?
    – LighFusion
    Commented 6 февр. 2016 в 15:44
  • @ВладимирМартьянов Задам вопрос по другому - через что можно просмотреть базовый адрес ?
    – LighFusion
    Commented 6 февр. 2016 в 21:49
  • IMAGE_DOS_HEADERS + IMAGE_NT_HEADERS. Ну и общее представление о структуре MZPE нужно иметь. Commented 7 февр. 2016 в 8:58
  • @ВладимирМартьянов - такс ImageBase Я определил, а как вот определить LdrLoadImage( реальный адрес загрузки)
    – LighFusion
    Commented 7 февр. 2016 в 16:06

1 ответ 1

3

IDA показывает вам виртуальный адрес, который соответствует ImageBase из заголовка файла. DLL может на раз грузиться по адресу, отличному от ImageBase и, соответственно, будет другой адрес. Пробуйте отнять от 0x1008F870 базовый адрес из заголовка и прибавить к этому реальный адрес загрузки DLL.

1
  • А еще такой момент, могу ли я используя стандартные Hook методы типа detoor trampoline, вместо функции - подставлять класс, внутри которого будет искомая функция. Ибо на данный момент у меня все выглядит следующим образом pastebin.com/nTVT6PYB , и класс подставить в HookFunctionWithTrampoline(org, class) - не получается, да и обозначить класс.функцию как Int fastcall не получается.
    – LighFusion
    Commented 12 февр. 2016 в 21:41

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.