Как найти hex значение

Вопрос отредактирован, продолжение истории чуть ниже под словом UPD

Есть файл – https://cloud.mail.ru/public/CNS1/xdWCPfD8z

Суть в следующем. Это файл программы для прототипирования под названием Axure RP. Программа хорошая, мощная, но не без изъянов. Я создал в ней кучу стилей для текста, многие из которых используют один и тот же цвет. Чтобы поменять этот цвет, нужно вручную его менять в каждом стиле. И нет какого-либо способа изменить этот цвет так, чтобы изменения отразились сразу во всех стилях, которые его используют.

В программе цвет задается хексом, в нем есть например цвета cc9900, 0099FF, 66CC99 – их-то мне и нужно поменять.

Решил подойти к проблеме с другого боку – открыл файл не акшуром, а с помощью sublime text в hexadecimal encoding. Казалось бы, поиск и замена решит проблему, но нет, цвета не находятся.

Есть идеи, как расшифровать файл и осуществить в нем поиск и замену нужных данных?

UPD
Файл оказался архивом. В нём я нашел файл с расширением .rppkg, при просмотре которого в кодировке UTF-8 я увидел названия своих стилей. Ссылка на файл:
https://cloud.mail.ru/public/BAdM/CUJPcW77Z

вот как выглядит файл в саблайме с кодировкой utf-8:

Как бы расшифровать атрибуты этих стилей, чтобы можно было их отредактировать?

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Здравствуйте, в иде имеем адрес фикции 00411D57 которую нужно занопить. В hex редакторе открываем экзешник, ищем 00411D57 но его нет, как найти функцию в экзешнике по адресу 00411D57. Спасибо.

• 

  Junior Member

  • Регистрация: 02 2008
  • Сообщений: 4815

  ---

  если в хьюве то перед адрессом нужно набрать точку .
  а вообще хелп читайте по каждому отдельно взятому редактору

  Комментарий

• 

  Junior Member

  • Регистрация: 07 2008
  • Сообщений: 1519

  ---

  solfi от твоего адреса надо отнять имедж бейз, думаю что это 40 0000 в целом reversecode прав. хотябы азы прочтите

  Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме….

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2005
  • Сообщений: 760

  ---

  Сообщение от VodoleY

  от твоего адреса надо отнять имедж бейз, думаю что это 40 0000

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Код:

  DWORD CPEFile::RVA2FileOffset(DWORD RVA)
  {
  ...
          for (i=0; iFileHeader.NumberOfSections; i++)
          {
                  if ((RVA >= m_pSectionHeaders[i].VirtualAddress) && 
                          (RVA < m_pSectionHeaders[i].VirtualAddress + m_pSectionHeaders[i].SizeOfRawData))
                  {
                          return m_pSectionHeaders[i].PointerToRawData + (RVA - m_pSectionHeaders[i].VirtualAddress);
                  }
          }
  ...
          return (DWORD)-1;
  }
  
  //------------------------------------------------------------------------
  
  DWORD CPEFile::VA2FileOffset(DWORD VA)
  {
          return RVA2FileOffset(VA2RVA(VA));
  }

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  reversecode
  А хьюв это какой редактор?
  Использую скачанный с этого сайта http://www.cracklab.ru/thumb.php?src=/_dl1/i/ODQ1.png

  VodoleY
  Что то с ImageBase’ом не получается, он вроде как 4000000, а не 400.000 http://stackoverflow.com/questions/3740976/about-imagebase-of-exe-in-windows но если отнять 4000000 от 00411D57 получается минусовое число, что-то не то…

  Комментарий

• 

  Junior Member

  • Регистрация: 11 2005
  • Сообщений: 931

  ---

  Для перевода отнимается ImageBase, вычитается виртуальны адрес начала секции, прибавляется физический.
  Reversecode правильно посоветовал, в hiew можно сразу по виртуальным переходить по F5 с точкой вначале адреса.

  Но проще на мой взгляд скопировать hex-данные по этому адресу и вбить в поиск в редакторе

  Сообщение от solfi

  но если отнять 4000000 от 00411D57 получается минусовое число

  а ты посчитай количество нулей у тебя, и сколько посоветовали

  Комментарий

• 

  radical

  • Регистрация: 04 2010
  • Сообщений: 978

  ---

  А еще проще (лично для меня) – пропатчить в Оле(адрес будет тот же).

  Кому нужно – найдете меня в телеграме Всем спасибо за эти 10 лет.

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  Для этих целей есть FLC в PE Tools.

  А по большому счету ТС не шаред.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Парни, может есть прога какая, или что самописное, высчитывающее офсет в файле из виртуального… заморачиваться формулами высчитывания не хочется…

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  solfi для особо тупых повторю:

  Сообщение от PE_Kill

  Для этих целей есть FLC в PE Tools.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2011
  • Сообщений: 317

  ---

  Сообщение от solfi

  в иде имеем адрес

  фикции

  00411D57

  Поставь курсор на 411D57 и посмотри в статусбаре смещение.

  

  Комментарий

• 

  retired

  • Регистрация: 02 2008
  • Сообщений: 2032

  ---

  Сообщение от rmn

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Ну тогда и выравние нужно учитывать.

  Лучше быть одиноким, но свободным © $me

  Комментарий