【Windows 逆向】使用 CE 工具挖掘关键数据内存真实地址 ( 逐层分析分析 静态地址 到 动态地址 的寻址 + 偏移 过程 ) ★（二）

四、第三层地址

第二层地址 指向的内存地址存储的值为 0E1DBB70 ;

第三层地址如下图 :

该 0E1DBB70 值 加上 5D4 构成一个新地址 0E1DC144 , 该 0E1DC144 地址中存储的值是 05A59478 ;

五、第四层地址

第三层地址 指向的内存地址存储的值为 05A59478 ;

第四层地址如下图 :

该 05A59478 值 加上 CC 构成一个新地址 0E1DC144 , 该 0E1DC144 地址中存储的值是 05A59544 ;

六、静态地址 到 动态地址 的寻址 + 偏移 过程总结

这个 05A59544 地址 , 就是最终的子弹数据存储的动态地址 ;

逆向的过程 就是 根据 动态地址 05A59544 地址 , 逐步分析 汇编代码 调用 , 最终追溯到 静态地址 cstrike.exe+1100ABC ;

程序正向运行时 , 根据静态地址 , 及 寻址 + 偏移 等多步操作 , 就可以得到正确的 子弹数据的动态地址 ;

每次启动应用 , 得到的动态地址值是不同的 ;