Question

我有一个检查游戏内存值的项目的源代码。我不明白的是：作者如何精确地确定这些值的类型和位置？例如，这是他定义的结构：

typedef struct {
    UInt16 times_used; // 0x0
    UInt16 token; // 0x2
    SInt16 previous_id; // 0x4
    SInt16 next_id; // 0x6
    SInt32 model; // 0x8
    char unknown00[0x1B]; // 0xC
    UInt8 player_owner; // 0x27
    char unknown01[0x18]; // 0x28
    UInt32 position_x; // 0x40
    UInt32 position_y; // 0x44
    char unknown02[0x1F]; // 0x48
    UInt32 death_type; // 0x69
    char unknown03[0x7]; // 0x6D
    UInt32 destination_x; // 0x74
    UInt32 destination_y; // 0x78
    char unknown04[0x84]; // 0x7C
    UInt32 health_damage; // 0x100
    UInt32 shield_damage; // 0x104
    UInt32 energy_damage; // 0x108
    char unknown05[0x74]; // 0x10C
} Unit;

他在此地址0x3BC2060查找，其大小为0x8B8。我运行程序并在这个位置观察内存，当然，我可以识别出一些像name属性这样的东西，但他是如何精确地找到它的呢？

感谢。

Answer 1

我希望我能做到这一点：

你看看0x3bc2060和下一个0x8b8字节/八位字节。要对这样的结构进行反向工程，通过使用该结构填充其中不同字段的值来观察程序是至关重要的。

然后，您可以从0x3bc2060开始的许多转储和随后的0x8b8字节中推断出怎么了。

但它并不像你想象的那么精确，因为有些字段显然不可分配。这些是未知的[]。

执行struct reverse是一项非常繁琐的任务，你需要对调试器有很大的耐心;）

希望这有助于理解它原则上如何运作

检查内存值

1 个答案: