内存特征码搜索，为什么搜不到结果？

DavidLiu · 发表于 2023-9-21 00:57

小菜在研究一个FZ的时候，该FZ属于动态地址，动态地址嘛也见多了，其核心在于：

1.定位到代码加载基址
2.定位到指定的目标函数
3.目标函数VA-加载基址Base==偏移
4.随便你怎么个动态地址，有了基址和偏移，就能找得到地址

这里我就想，既然我有了基址和特征码，能不能利用特征码开发一个软件呢？可以自动帮我获取函数地址，这岂不是很开心！
于是说干就干，软件界面我都画好了！

内存搜素工具.jpg

1.输入指定的进程的PID

2.指定内存搜索的首地址

3.输入特征码，当点击查询，就能把指定函数地址帮我打印出来

其实这个功能就是OD和x32dbg的特征码搜索功能。我也借鉴了一些前辈的的代码。

核心代码如下：

内存搜素函数.jpg

但是当我写好编译出来的时候，发现通过内存特征码搜索，根本搜索不到结果。

换了很多前辈们写的源码都不行，也是搜不到结果。

我也不明白问题出在哪儿，想请教有没有过来的老师也遇到过类似的问题？麻烦帮点拨一下，感恩

排除权限问题，因为尝试了提权，依然搜不到。

排除特征码错误的问题，因为在OD和x32dbg亲测确实是可以搜的到的。

排除搜索时机问题，因为APIhook的时候，相同的时机，OD和x32dbg利用特征码都能搜到函数地址。

FZ链接就不发了，避免求破。

100HB不值一提，可以走骑士论坛，写个特征码搜索的例子也好呀。

故林 · 发表于 2023-9-21 00:57

最佳答案本应属于楼主私有，因此限制查看

您还有0次查看次数，点此查看答案

点此购买查看次数
也可以兑换VIP特权或加入解密专家，每日可免费查看5次最佳答案！

boot · 发表于 2023-9-21 06:57

看看隐藏内容～

firstsee · 发表于 2023-9-21 08:21

先看看隐藏的消息

firstsee · 发表于 2023-9-21 08:23

如果你说的那3个问题真的都是不存在,那么你或许需要获取模块基址去搜索

52HB游客 *发表于 2023-9-21 09:20* · 发表于 2023-9-21 09:20

隐藏内容有意思

Rooking · 发表于 2023-9-21 09:39

看看隐藏内容

Rooking · 发表于 2023-9-21 09:40

建议你输出日志看一下

f22953 · 发表于 2023-9-21 09:55

隐藏内容

封情 · 发表于 2023-9-21 10:06

建议你输出日志看一下

		自动登录	找回密码
密码			立即注册