首先我们排除一下,标志不会在下面,因为程序一启动则要加载
随意在上面PE 后面我们一个自己一个字节的尝试
这里我就不尝试了,标志是PE 后面数6个字节,然后下方就是
也就是02 和 03
02是随机基址...因为程序权限问题,这里不让我更改,不过我们可以写文件更改
第二种方法
如果对于修改文件,我们不爱做,我们也可以通过程序算偏移去做
具体
有公式可以计算
全局变量的地址 - 模块首地址 = 偏移
每次程序启动加载模块...5.找到一个,我们看下修改值是否会把阳光修改了
?
发现成功修改
?...我们看到,他是加了一个偏移寻到了5560
也就是 [base + 5560] 取内容 = 阳光的个数
那么现在主要是base(地址)是什么,在上面可以看出,base是edx,那么现在主要是edx的值
?...我们可能会得出很多个加偏移的,不过没关系,一个一个的场浩司,总会找到
最终会找到,如下图
?
那么现在我们用CE的添加地址功能 把我们的地址+偏移添加上,看看是否阳光一样
?