CE "Write-on" Ergebnis Verständnis

[erudite]

Hey Leute

Eine kurze Frage: Ich habe eine Adresse in 4Story gefunden und wollte wissen, welcher Pointer dahinter steht. Nach dem Scan wurde mir folgendes Ergebnis angezeigt.

 Spoiler

Warum "+TClient.exe"? Wird es vom Server beschrieben?

Grüße und Danke

GELÖST!
Siehe Post von Ten$ion

Danke nochmal!

[Saedelaere*]

Wie soll der Server denn bitte in deinen Prozess reinschreiben? Der Server sendet höchstens ein Paket, was den Client dazu bringt den Wert zu ändern.

Das +TClient.exe bedeutet lediglich, dass die Adressen relativ zur ImageBase der TClient.exe sind. Du musst also die ImageBase auf das Offset addieren, um die absolute Adresse zu bekommen.

[erudite]

Originally Posted by Saedelaere*

Wie soll der Server denn bitte in deinen Prozess reinschreiben? Der Server sendet höchstens ein Paket, was den Client dazu bringt den Wert zu ändern.

Das meinte ich mit "darauf schreiben".

Originally Posted by Saedelaere*

Das +TClient.exe bedeutet lediglich, dass die Adressen relativ zur ImageBase der TClient.exe sind. Du musst also die ImageBase auf das Offset addieren, um die absolute Adresse zu bekommen.

Ok danke dir

Nur was ist die ImageBase? :S

[​Tension]

Du machst einen Doppelklick drauf ( dann solltest du im MemoryView landen ) und danach noch einen Doppelklick auf die Zeile wo das mit TClient.exe steht dann kommt die normale Adresse, davon ziehst du einfach das Offset ab ( z.B 0x481438 ) und dadurch bekommst du die BaseAddress. Die kannst du aber auch mit PEiD heraus finden, einfach reinziehen und neben Subsystem auf den Pfeil.

[Saedelaere*]

Originally Posted by Ten$ion

Die kannst du aber auch mit PEiD heraus finden, einfach reinziehen und neben Subsystem auf den Pfeil.

Damit wäre ich vorsichtig, da die ImageBase im PE Header nur eine "Wunschadresse" ist. Dem Betriebssystem ist es theoretisch freigestellt, die PE Datei auch an eine andere Base zu mappen. Bei EXE passiert dies nicht, allerdings werden DLLs praktisch immer rebased (durch ASLR oder wenn die gewünschte Base Adresse schon von einer anderen DLL, etc. belegt ist).