Hi,

Ich durchsuche den Speicher eines fremden Programms nach einem String. Den finde ich auch. (Text eines Labels z.B.)
Jetzt versuche ich die Adresse eines Pointers rauszufinden, die auf diesen String zeigt. Ich gehe dabei so vor:

markieren

Delphi-Quellcode:

var buff,i: Cardinal;
begin
  StrAddr := GetStrAddr; // nicht das Problem
  i := 0;
  repeat
    inc(i);
    ReadProcessMemory(Process,Pointer(i),@Buff,SizeOf(Pointer),br);
  until Pointer(Buff) = StrAddr;
end;

Allerdings werde ich nicht fündig. Aber es müsste doch einen geben oder nicht? Wie will man sonst drauf zugreifen?? Oder ist der Code falsch? (Das der Code etwas unperformant ist, ist mir bewusst )

Gruß
Neutral General

Hallo Michael,

wer garantiert dir, dass ein Zeiger genau auf das erste Zeichen des Textes zeigt? Der Text könnte beispielsweise auch ein ShortString mit einem führenden Längenbyte sein.

Gruß Hawkeye

Zitat von Hawkeye219:

Der Text könnte beispielsweise auch ein ShortString mit einem führenden Längenbyte sein.

Oder der Zeiger wird zur Laufzeit aus einer Startadresse und einem Offset in eine String-Tabelle (resourcestring) berechnet.

Zitat von Hawkeye219:

Hallo Michael,

wer garantiert dir, dass ein Zeiger genau auf das erste Zeichen des Textes zeigt? Der Text könnte beispielsweise auch ein ShortString mit einem führenden Längenbyte sein.

Gruß Hawkeye

Zitat von jbg:

Zitat von Hawkeye219:

Der Text könnte beispielsweise auch ein ShortString mit einem führenden Längenbyte sein.

Oder der Zeiger wird zur Laufzeit aus einer Startadresse und einem Offset in eine String-Tabelle (resourcestring) berechnet.

Es handelt sich ja um die Caption eines Labels. Also Quasi TCustomLabel.FCaption.
Da dürfte eigentlich keine der beiden genannten Fälle auftreten oder?

Was sagt dir, dass alle Pointer auf 4 Bytes (oder hatte ein Cardinal 8? Egal, geht um's Prinzip) aligned sind?
Das kann doch auch so aussehen:

markieren

Code:

BPPPP

(B steht hier für irgendein byte, die 4 P für einen Pointer)

markieren

Code:

BPPPP
----

Wenn du jetzt bei Position 0 anfängst zu zählen, wirst du den wert hier nicht finden, obwohl er vorhanden ist.

Eine blöde Sache in dem Zusammenhang ist auch noch die Endianumrechnung. Denn je nachdem wo du anfängst zu zählen, haben die Bytes unter Umständen eine andere Reihenfolge (hab ich bei meinen kläglichen ROM-Hacking versuchen zu spüren bekommen).

Cardinal ist ein machine word, ein Int. Inc(int) == int := int + 1; Inc(pointer) == integer(pointer) := integer(pointer) + sizeof(pointer^).

Es gibt auch relative Adressangaben (zum Beispiel relativ zum Befehlszählregister).