关于读内存 模块地址+偏移的写法

揰掵佲

  

变量名	类 型	静态	数组	备 注
PID	整数型

X64_初始化 ()
X64_内存_读代码_整数 (PID, “[python27.dll+00585398]+c0+70+90+148+780”)

.版本 2<br /> <br /> .局部变量 PID, 整数型<br /> <br /> X64_初始化 ()<br /> X64_内存_读代码_整数 (PID, “[python27.dll+00585398]+c0+70+90+148+780”)

模块自行下载

duanyiemo3

LeyBc 发表于 2022-1-16 19:40
[e=0].版本 2

.局部变量 PID, 整数型

您好，感谢回答。调试输出后结果为0  读取不正确。我也不知道是啥原因~

恶魔の佐翼

先看进程是64还是32了,任务管理器里面就看的明显,其次这个应该是读内存长整数,整数应该装不下,变量也得长整数

补充内容 (2022-1-16 20:15):
数值看着有点大,64的很有可能,要不换x64读取,要不换支持64的编程语言了

duanyiemo3

10楼老哥给了支持64的模块 我也按他的试了 也改成了长整数 读出来还是0不知道为什么。ce关了 杀软也关了。找不到问题就很奇怪。

duanyiemo3

  

调试输出 (读内存整数型 (PID, 进制_十六到十 (模块.模块名取句柄 (PID, “python27.dll”)) ＋ 进制_十六到十 (“510860”)))

调试输出 (读内存整数型 (PID, 进制_十六到十 (模块.模块名取句柄 (PID, “python27.dll”)) ＋ 进制_十六到十 (“510860”)))

这是同一个程序另一个地址的读取。结果是正确的。这个我是确定的，多次尝试。是不是可以排除64的问题。然后现在就是不会写这个多级读取。我现在是这样写的，有问题请帮我改下代码。感谢。

  

基址 ＝ 读内存长整数型 (PID, 进制_十六到十 (模块.模块名取句柄 (PID, “python27.dll”)) ＋ 进制_十六到十 (“00585398”))
偏移1 ＝ 读内存长整数型 (PID, 基址 ＋ 进制_十六到十 (“C0”))
偏移2 ＝ 读内存长整数型 (PID, 偏移1 ＋ 进制_十六到十 (“70”))
偏移3 ＝ 读内存长整数型 (PID, 偏移2 ＋ 进制_十六到十 (“90”))
偏移4 ＝ 读内存长整数型 (PID, 偏移3 ＋ 进制_十六到十 (“148”))
偏移5 ＝ 读内存长整数型 (PID, 偏移4 ＋ 进制_十六到十 (“780”))
A ＝ 读内存长整数型 (PID, 偏移5)

.版本 2<br /> <br /> 基址 ＝ 读内存长整数型 (PID, 进制_十六到十 (模块.模块名取句柄 (PID, “python27.dll”)) ＋ 进制_十六到十 (“00585398”))<br /> 偏移1 ＝ 读内存长整数型 (PID, 基址 ＋ 进制_十六到十 (“C0”))<br /> 偏移2 ＝ 读内存长整数型 (PID, 偏移1 ＋ 进制_十六到十 (“70”))<br /> 偏移3 ＝ 读内存长整数型 (PID, 偏移2 ＋ 进制_十六到十 (“90”))<br /> 偏移4 ＝ 读内存长整数型 (PID, 偏移3 ＋ 进制_十六到十 (“148”))<br /> 偏移5 ＝ 读内存长整数型 (PID, 偏移4 ＋ 进制_十六到十 (“780”))<br /> <br /> A ＝ 读内存长整数型 (PID, 偏移5)

q18648952

64位,你这么读,能读出来才是怪事

duanyiemo3

真的读出来了

将来啊

给你写好了，用的精e模块添加上去自己试试吧。

将来啊

将来啊 发表于 2022-1-16 22:40
给你写好了，用的精e模块添加上去自己试试吧。

win10的话估计读不出来，因为地址都是长整数的，你可以换个NT读写 读取的格式不会错的。

duanyiemo3

将来啊 发表于 2022-1-16 22:40
给你写好了，用的精e模块添加上去自己试试吧。

老哥 按左边的没反应   按右边的输出0