Как в hex найти текст

The Find command is used to locate specific pattern in a file. The Find Window is used to specify the pattern to search for, as well as a number of additional options.

Complexity: linear-time.

Find Operations

When the pattern is found, the cursor is moved to the beginning of a match. To continue searching, execute the Find » Find Next or Find » Find Previous commands. The direction of find depends on whether the Search up or Search down option is selected in a Find Window:

If pattern is not found in the remaining part of the document, the message box is displayed and find is terminated.

Regular Expressions

The Find command fully supports regular expressions. To search using regular expressions, select either “ASCII string (char[])” or “UNICODE string (wchar_t[])” pattern type, enter the regular expression, make sure the Regular expression checkbox is checked and enter the sub-expression number you want to search for. Sub-expression 0 represents the expression itself.

If the match is found, the cursor is moved to the beginning of the matched expression or sub-expression. When you use the Find Next command to find the next match, the search is started from the next cell, not the end of the matched expression.

Scripting

Scripts are provided with the following methods to execute the find operations:

• IDocumentView.findAsync
• IDocumentView.findRegExpAsync
• IDocumentView.findNextAsync
• IDocumentView.findPrevAsync

Посмотрев в бинарный файл, легко найти, что картинка начинается где то в районе 0x3488. Одна строка — 12 байт. Дальше дело техники

#include <stdio.h>


int main()
{
  FILE* f = fopen("Source.bin", "r");
  int p = 0x347E; // где начинается картинка. Возможно, она начинается на пару строк выше
  int counter = 1; // смещение в битах
  for (int i = 0; i < counter; i++) printf(" "); // напечатаем несколько пробелов, что бы компенсировать смещение в бите
  int line_size = 12*8; // размер строки
  fseek(f, p, SEEK_SET); // переедем сразу куда нужно
  for (int i = 0; i < 640; i++) { // опытным путем установлено, что там 640 байт на картинку
    int c = fgetc(f); // читаем по байту
    if (c == -1) break; // ой, конец неожиданный файла, выходим
    for (int j = 0; j<8;j++) {
      int z = c & (1<<(7-j)); // извлекаем бит
      if (z == 0) printf(" "); else printf("#"); // и печатаем его
      counter++; // счетчик точек в строке
      if (counter == line_size) {printf("n"); counter = 0;} // новая строка
    }
  }
  fclose(f);
}

Как увидеть картинку? очень просто. Распечатываем в консоль файл в виде битов — 1 и 0. А дальше смотрим на оригинальную картинку, выписываем последовательность нулей и единиц и ищем.

                   ##### #   # ##### #           #     ##### #   # ##### #
                   #     #   # #     #           #     #     #   # #     #
                   #     #   # #     #           #     #     #   # #     #
                   ####  #   # ####  #           #     ####  #   # ####  #
                   #     #   # #     #           #     #     #   # #     #
                   #     #   # #     #           #     #      # #  #     #
                   #      ###  ##### #####       ##### #####   #   ##### #####




                                        #      ###  #   #
                                        #     #   # #   #
                                        #     #   # # # #
                                        #     #   # # # #
                                        #     #   # # # #
                                        #     #   # # # #
                                        #####  ###   # #






                                        ##############    #
                                       ################   ##
                                       ##            ##    ##
                                       ##            ##     ###
                                       ##            ##      ###
                                       ##            ##       ##
                                       ##            ##       ###
                                       ##            ##       ###
                                       ##            ##       ###
                                       ##            ##       ##
                                       ##            ##       ##
                                       #################      ##
                                       ##################     ##
                                       ################ ##    ##
                                       ################  ##   ##
                                       ################  ##   ##
                                       ################  ##    ##
                                       ################  ##    ##
                                       ################  ##    ##
                                       ################  ##     ##
                                       ################  ##     ##
                                       ################  ##     ##
                                       ################  ##     ##
                                       ################  ##     ##
                                       ################   ##   ##
                                       ################    #####
                                       ################     ###
                                       ################
                                       ################
                                      ##################

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Здравствуйте, в иде имеем адрес фикции 00411D57 которую нужно занопить. В hex редакторе открываем экзешник, ищем 00411D57 но его нет, как найти функцию в экзешнике по адресу 00411D57. Спасибо.

• 

  Junior Member

  • Регистрация: 02 2008
  • Сообщений: 4815

  ---

  если в хьюве то перед адрессом нужно набрать точку .
  а вообще хелп читайте по каждому отдельно взятому редактору

  Комментарий

• 

  Junior Member

  • Регистрация: 07 2008
  • Сообщений: 1519

  ---

  solfi от твоего адреса надо отнять имедж бейз, думаю что это 40 0000 в целом reversecode прав. хотябы азы прочтите

  Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме….

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2005
  • Сообщений: 760

  ---

  Сообщение от VodoleY

  от твоего адреса надо отнять имедж бейз, думаю что это 40 0000

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Код:

  DWORD CPEFile::RVA2FileOffset(DWORD RVA)
  {
  ...
          for (i=0; iFileHeader.NumberOfSections; i++)
          {
                  if ((RVA >= m_pSectionHeaders[i].VirtualAddress) && 
                          (RVA < m_pSectionHeaders[i].VirtualAddress + m_pSectionHeaders[i].SizeOfRawData))
                  {
                          return m_pSectionHeaders[i].PointerToRawData + (RVA - m_pSectionHeaders[i].VirtualAddress);
                  }
          }
  ...
          return (DWORD)-1;
  }
  
  //------------------------------------------------------------------------
  
  DWORD CPEFile::VA2FileOffset(DWORD VA)
  {
          return RVA2FileOffset(VA2RVA(VA));
  }

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  reversecode
  А хьюв это какой редактор?
  Использую скачанный с этого сайта http://www.cracklab.ru/thumb.php?src=/_dl1/i/ODQ1.png

  VodoleY
  Что то с ImageBase’ом не получается, он вроде как 4000000, а не 400.000 http://stackoverflow.com/questions/3740976/about-imagebase-of-exe-in-windows но если отнять 4000000 от 00411D57 получается минусовое число, что-то не то…

  Комментарий

• 

  Junior Member

  • Регистрация: 11 2005
  • Сообщений: 931

  ---

  Для перевода отнимается ImageBase, вычитается виртуальны адрес начала секции, прибавляется физический.
  Reversecode правильно посоветовал, в hiew можно сразу по виртуальным переходить по F5 с точкой вначале адреса.

  Но проще на мой взгляд скопировать hex-данные по этому адресу и вбить в поиск в редакторе

  Сообщение от solfi

  но если отнять 4000000 от 00411D57 получается минусовое число

  а ты посчитай количество нулей у тебя, и сколько посоветовали

  Комментарий

• 

  radical

  • Регистрация: 04 2010
  • Сообщений: 978

  ---

  А еще проще (лично для меня) — пропатчить в Оле(адрес будет тот же).

  Кому нужно — найдете меня в телеграме Всем спасибо за эти 10 лет.

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  Для этих целей есть FLC в PE Tools.

  А по большому счету ТС не шаред.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 09 2011
  • Сообщений: 3

  ---

  Парни, может есть прога какая, или что самописное, высчитывающее офсет в файле из виртуального… заморачиваться формулами высчитывания не хочется…

  Комментарий

• 

  Шаман

  • Регистрация: 12 2005
  • Сообщений: 3919

  ---

  solfi для особо тупых повторю:

  Сообщение от PE_Kill

  Для этих целей есть FLC в PE Tools.

  Yann Tiersen best and do not fuck

  Комментарий

• 

  Junior Member

  • Регистрация: 04 2011
  • Сообщений: 317

  ---

  Сообщение от solfi

  в иде имеем адрес

  фикции

  00411D57

  Поставь курсор на 411D57 и посмотри в статусбаре смещение.

  

  Комментарий

• 

  retired

  • Регистрация: 02 2008
  • Сообщений: 2032

  ---

  Сообщение от rmn

  чтобы перевести VA в File Offset, недостаточно только отнять ImageBase

  Ну тогда и выравние нужно учитывать.

  Лучше быть одиноким, но свободным © $me

  Комментарий