Как найти адрес в hex редакторе

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Здравствуйте, в иде имеем адрес фикции 00411D57 которую нужно занопить. В hex редакторе открываем экзешник, ищем 00411D57 но его нет, как найти функцию в экзешнике по адресу 00411D57. Спасибо.

• 

  Junior Member

  • Регистрация: 02 2008
  • Сообщений: 4815

  ---

  если в хьюве то перед адрессом нужно набрать точку .
  а вообще хелп читайте по каждому отдельно взятому редактору

  Комментарий

• 

  Junior Member

  • Регистрация: 07 2008
  • Сообщений: 1519

  ---

  solfi от твоего адреса надо отнять имедж бейз, думаю что это 40 0000 в целом reversecode прав. хотябы азы прочтите

  Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме….

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2005
  • Сообщений: 760

  ---

  Сообщение от VodoleY

  от твоего адреса надо отнять имедж бейз, думаю что это 40 0000

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Код:

  DWORD CPEFile::RVA2FileOffset(DWORD RVA)
  {
  ...
          for (i=0; iFileHeader.NumberOfSections; i++)
          {
                  if ((RVA >= m_pSectionHeaders[i].VirtualAddress) && 
                          (RVA < m_pSectionHeaders[i].VirtualAddress + m_pSectionHeaders[i].SizeOfRawData))
                  {
                          return m_pSectionHeaders[i].PointerToRawData + (RVA - m_pSectionHeaders[i].VirtualAddress);
                  }
          }
  ...
          return (DWORD)-1;
  }
  
  //------------------------------------------------------------------------
  
  DWORD CPEFile::VA2FileOffset(DWORD VA)
  {
          return RVA2FileOffset(VA2RVA(VA));
  }

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  reversecode
  А хьюв это какой редактор?
  Использую скачанный с этого сайта http://www.cracklab.ru/thumb.php?src=/_dl1/i/ODQ1.png

  VodoleY
  Что то с ImageBase’ом не получается, он вроде как 4000000, а не 400.000 http://stackoverflow.com/questions/3740976/about-imagebase-of-exe-in-windows но если отнять 4000000 от 00411D57 получается минусовое число, что-то не то…

  Комментарий

• 

  Junior Member

  • Регистрация: 11 2005
  • Сообщений: 931

  ---

  Для перевода отнимается ImageBase, вычитается виртуальны адрес начала секции, прибавляется физический.
  Reversecode правильно посоветовал, в hiew можно сразу по виртуальным переходить по F5 с точкой вначале адреса.

  Но проще на мой взгляд скопировать hex-данные по этому адресу и вбить в поиск в редакторе

  Сообщение от solfi

  но если отнять 4000000 от 00411D57 получается минусовое число

  а ты посчитай количество нулей у тебя, и сколько посоветовали

  Комментарий

• 

  radical

  • Регистрация: 04 2010
  • Сообщений: 978

  ---

  А еще проще (лично для меня) – пропатчить в Оле(адрес будет тот же).

  Кому нужно – найдете меня в телеграме Всем спасибо за эти 10 лет.

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  Для этих целей есть FLC в PE Tools.

  А по большому счету ТС не шаред.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Парни, может есть прога какая, или что самописное, высчитывающее офсет в файле из виртуального… заморачиваться формулами высчитывания не хочется…

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  solfi для особо тупых повторю:

  Сообщение от PE_Kill

  Для этих целей есть FLC в PE Tools.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2011
  • Сообщений: 317

  ---

  Сообщение от solfi

  в иде имеем адрес

  фикции

  00411D57

  Поставь курсор на 411D57 и посмотри в статусбаре смещение.

  

  Комментарий

• 

  retired

  • Регистрация: 02 2008
  • Сообщений: 2032

  ---

  Сообщение от rmn

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Ну тогда и выравние нужно учитывать.

  Лучше быть одиноким, но свободным © $me

  Комментарий

Поиск адресов и включение MODE 23 EcuFlash

Если кто не знает что такое mode23 и для чего он нужен то ищете в любой поисковой системе, все подробно описано.

Нам понадобится:
EcuFlash
xvi32 HEX редактор
Редактор для XML, Я использовал XPAD

Если отсутствует XML файл то для начала находим значение ROM ID

открываем в HEX редакторе прошивку и жмем adrress – goto… переходим по адресу 0x5002A

RomId выбранной мной прошивке 52 31 00 03

Создаем базовый XML файл

<rom>
<romid>
<xmlid>52310003</xmlid>
<internalidaddress>5002a</internalidaddress>
<internalidhex>52310003</internalidhex>
<make>Mitsubishi</make>
<model>Lancer</model>
<submodel>4B11</submodel>
<market>EDM</market>
<transmission>5MT</transmission>
<year>2008</year>
<flashmethod>mitsucan</flashmethod>
<memmodel>M32186F8</memmodel>
<checksummodule>mitsucan</checksummodule>
</romid>

<!– * Scaling * –>

<scaling name=”ECU ID” units=”units” toexpr=”x” frexpr=”x” format=”%08x” min=”0″ max=”1e+08″ inc=”1″ storagetype=”uint32″ endian=”big”/>

<!– *** ECU ID *** –>

<table name=”ECU ID” address=”5002a” category=”ECU ID” type=”1D” scaling=”ECU ID”/>

</rom>

Сохраняем как .XML и помещаем в папку rommetadata EcuFlash. Или просто добавляем запись в готовый XML.
Теперь прошивка откроется в ECUflash.

Включение MODE23

Для включения mode23 необходимо найти 2 адреса в ПЗУ
Для этого в Hex редакторе жмем Search/Find и ищем 65056606B0050042

В прошивке есть только один адрес 65056606B0050042 если Вы нашли больше то остановитесь, продолжать не стоит.

Определение для mode 23

<table name=”IFMode 0x05 -> 0x23 #1″ address=”address 1″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”IFMode 0x05 -> 0x23 #2″ address=”address 2 part 1″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”DoMode 0x42 -> 0x52″ address=”address 2 part 2″ category=”Mode23″ type=”1D” scaling=”Hex16″/>

Нам нужно найти 3 адреса, приведенная выше ячейка содержит в себе 2 адреса address2 part1 и address2 part2

Нам нужна 2я ячейка со значение 05 (address2part1) и 7я ячейка со значением 00 (address2part2)

Теперь нам нужно найти address1, для этого в Hex ищем 65056606.

Мы видим что это часть address2, но в файле данный адрес встречается 2 раза до и после address2

Нам нужен ДО.
Из опыта все address1 в диапазоне 7xxxx и все addess2 в диапазоне 8xxxx.

Мы нашли необходимые адреса, давайте посмотрим как это должно выглядеть для ROM ID 52 31 00 03

<table name=”IFMode 0x05 -> 0x23 #1″ address=”7D6A1″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”IFMode 0x05 -> 0x23 #2″ address=”88A61″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”DoMode 0x42 -> 0x52″ address=”88A66″ category=”Mode23″ type=”1D” scaling=”Hex16″/>

Вот как должен выглядеть готовый XML файл

<rom>
<romid>
<xmlid>52310003</xmlid>
<internalidaddress>5002a</internalidaddress>
<internalidhex>52310003</internalidhex>
<make>Mitsubishi</make>
<model>Lancer</model>
<submodel>4B11</submodel>
<market>EDM</market>
<transmission>5MT</transmission>
<year>2008</year>
<flashmethod>mitsucan</flashmethod>
<memmodel>M32186F8</memmodel>
<checksummodule>mitsucan</checksummodule>
</romid>

<!– * Scaling * –>

<scaling name=”ECU ID” units=”units” toexpr=”x” frexpr=”x” format=”%08x” min=”0″ max=”1e+08″ inc=”1″ storagetype=”uint32″ endian=”big”/>
<scaling name=”Hex8″ units=”hex” toexpr=”x” frexpr=”x” format=”%02X” min=”0″ max=”255″ inc=”1″ storagetype=”uint8″ endian=”big”/>
<scaling name=”Hex16″ units=”hex” toexpr=”x” frexpr=”x” format=”%04X” min=”0″ max=”65535″ inc=”1″ storagetype=”uint16″ endian=”big”/>

<!– *** ECU ID *** –>

<table name=”ECU ID” address=”5002a” category=”ECU ID” type=”1D” scaling=”ECU ID”/>

<!– * Mode23 * –>

<table name=”IFMode 0x05 -> 0x23 #1″ address=”7D6A1″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”IFMode 0x05 -> 0x23 #2″ address=”88A61″ category=”Mode23″ type=”1D” scaling=”Hex8″/>
<table name=”DoMode 0x42 -> 0x52″ address=”88A66″ category=”Mode23″ type=”1D” scaling=”Hex16″/>

</rom>

Чтобы включить Mode23 открываем вашу прошивку в Ecuflash и изменить значения 05 -> 23 и 0042 -> 0052. Сохранить и записать в ECU.

Все вышесказанное просто перевод на Русский язык, в качестве примера использовал прошивку со своего атмосферного ECU.

Думаю данная информация окажется полезной многим, особенно владельцам 4B10-12.

Теперь можете записывать полноценные логи с помощью EvoScan’a.