确定数据存放在内存中的地址——WX逆向学习（二）

课程有点老，通过搜索发现一个新的开源反汇编调试器x64dbg，支持32位/64位调试，界面与OllyDbg相似，github上的star数量很多，插件丰富
https://x64dbg.com/

1.打开CE,通过微信昵称查找内存地址

nickname  WeChatWin.dll + 3DFD5D8

复制出xml信息：

<?xml version="1.0" encoding="utf-8"?>
<CheatTable>
  <CheatEntries>
    <CheatEntry>
      <ID>7</ID>
      <Description>"nickname"</Description>
      <LastState RealAddress="7FF9D1F5D5D8"/>
      <ShowAsSigned>0</ShowAsSigned>
      <VariableType>String</VariableType>
      <Length>10</Length>
      <Unicode>0</Unicode>
      <CodePage>0</CodePage>
      <ZeroTerminate>1</ZeroTerminate>
      <Address>WeChatWin.dll+3DFD5D8</Address>
    </CheatEntry>
  </CheatEntries>
</CheatTable>

根据它的地址7FF9D1F5D5D8去x64dbg中验证

2.打开x64dbg，查找附近字符串

x64dbg中没有dd等命令了，使用dump+地址方式

dump 7FF9AD53D5D8

ps:这里最好提前把昵称改为英文，方便查找，中文有转码问题

3.通过昵称 寻找其他字段

找到后，右键复制它的地址，再到CE中寻找，看是否能够根据地址找到对应文本
ps:如果文本不对，可能是指针引用

复制 导出xml：

<?xml version="1.0" encoding="utf-8"?>
<CheatTable>
  <CheatEntries>
    <CheatEntry>
      <ID>7</ID>
      <Description>"nickname"</Description>
      <LastState RealAddress="7FF9D1F5D5D8"/>
      <ShowAsSigned>0</ShowAsSigned>
      <VariableType>String</VariableType>
      <Length>10</Length>
      <Unicode>0</Unicode>
      <CodePage>0</CodePage>
      <ZeroTerminate>1</ZeroTerminate>
      <Address>WeChatWin.dll+3DFD5D8</Address>
    </CheatEntry>
    <CheatEntry>
      <ID>8</ID>
      <Description>"wxname"</Description>
      <LastState RealAddress="7FF9D1F5D4F8"/>
      <ShowAsSigned>0</ShowAsSigned>
      <VariableType>String</VariableType>
      <Length>100</Length>
      <Unicode>0</Unicode>
      <CodePage>0</CodePage>
      <ZeroTerminate>1</ZeroTerminate>
      <Address>7FF9D1F5D4F8</Address>
    </CheatEntry>
    <CheatEntry>
      <ID>9</ID>
      <Description>"wxid"</Description>
      <LastState RealAddress="264EA2E1050"/>
      <ShowAsSigned>0</ShowAsSigned>
      <VariableType>String</VariableType>
      <Length>50</Length>
      <Unicode>0</Unicode>
      <CodePage>0</CodePage>
      <ZeroTerminate>1</ZeroTerminate>
      <Address>7FF9D1F5D470</Address>
      <Offsets>
        <Offset>0</Offset>
      </Offsets>
    </CheatEntry>
  </CheatEntries>
</CheatTable>

4.计算偏移地址

原理：地址=基址+偏移

打开计算器，选择程序员计算器，计算16进制

首先使用nickname的7FF9D1F5D5D8地址减去偏移地址3DFD5D8得到WeChatWin.dll地址7FF9CE160000

使用wxname的7FF9D1F5D4F8地址减去WeChatWin.dll地址7FF9CE160000得到偏移地址3DFD4F8

同理可以计算其他字段

最终得到内存地址：

WeChatWin.dll    7FF9CE160000
nickname  WeChatWin.dll + 3DFD5D8
wxname      WeChatWin.dll + 3DFD4F8
wxid      WeChatWin.dll + 3DFD470  (指针地址)