首页
社区
课程
招聘
[原创]X64DBG: PE文件之RVA与FOA转换
发表于: 2022-4-30 20:58 7457

[原创]X64DBG: PE文件之RVA与FOA转换

2022-4-30 20:58
7457

在程序运行的时候,可以查看到字符串常量。但是无法直接修改内容并保存到文件中。解决问题的思路有两种:

第一种方式比较简单,但是会要凭借一些运气,比如如果遇到多个相同字符串,这样就无法准确定位自己想要的对象。下面主要介绍第二种方式。

图片描述

该URL字符串常量在内存中的地址:0x434810

图片描述

通过内存布局,可以锁定该内存在.rdata节中,该节的内存起始地址为:0x433000

所以,URL字符串在该节中的偏移是: offset = 0x434810 - 0x433000 = 0x1810

PE工具分析exe文件,找到.rdata的文件节点地址:0x21c00

图片描述

在二进制文件中也可以找到该地址:

图片描述

根据内存中的偏移地址,可以找到URL字符串在文件中的实际地址:0x1810 + 0x21c00 = 0x23410

图片描述

 

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 4
支持
分享
最新回复 (5)
雪    币: 2960
活跃值: (2290)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
有用。我现在就是用的第一种盲猜的
2022-8-10 16:51
1
雪    币: 2325
活跃值: (2304)
能力值: ( LV6,RANK:89 )
在线值:
发帖
回帖
粉丝
3
x64dbg里shift+ctrl+g直接看文件偏移,复制偏移到winhex里看就行了............
2022-8-10 17:26
1
雪    币: 844
活跃值: (9816)
能力值: ( LV13,RANK:385 )
在线值:
发帖
回帖
粉丝
4
shift+ctrl+g 工具提供. PE的FOA RVA 转换属于核心知识. 方便的话用第一种. 第二种自己很习惯的话用第二种. 第二种硬实力. 换个工具一样可以用. 
2022-8-10 17:53
1
雪    币: 4271
活跃值: (8640)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
5
TkBinary shift+ctrl+g 工具提供. PE的FOA RVA 转换属于核心知识. 方便的话用第一种. 第二种自己很习惯的话用第二种. 第二种硬实力. 换个工具一样可以用.
谢谢大佬的建议,受用了。
2022-8-11 08:19
0
雪    币: 8744
活跃值: (5210)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
6
LexSafe x64dbg里shift+ctrl+g直接看文件偏移,复制偏移到winhex里看就行了............
又学了一招
2022-8-11 08:41
0
游客
登录 | 注册 方可回帖
返回
//