Find String Reference X64

[SMO]

Was genau ist dein Ziel? Du durchsuchst ein (fremdes) Programm nach einem String und möchtest dann herausfinden, welche Stellen des Programms diesen String benutzen?

Das ist in x64 in der Tat schwieriger. Wenn du es ganz korrekt machen möchtest, dann müsstest du den kompletten Code disassemblieren, die RIP-relativen Adressierungen erkennen, dann wie oben gezeigt die absolute Adresse ausrechnen und prüfen, ob es die Adresse des Strings ist. Außerdem weiterhin nach absoluten Adressen Ausschau halten, da es die immer noch geben kann. Das ist ziemlich aufwendig.

Eine mögliche Heuristik, ohne Disassembler, könnte so funktionieren:

Delphi-Quellcode:

var
  StrAdr, CodeAdr, EndAdr: UInt64;

StrAdr := Adresse des Strings (64-Bit absolut)
CodeAdr := Startadresse des zu durchsuchenden Codes (64-Bit absolut)
EndAdr:= Endadresse des zu durchsuchenden Codes (64-Bit absolut)

while CodeAdr < EndAdr do
begin
  // teste auf absolute 64-Bit-Adresse:
  if HoleUInt64VonAdresse(CodeAdr) = StrAdr then
  begin
    AbsoluteReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 8);
  end
  // teste auf RIP-relatives 32-Bit-Offset:
  else if CodeAdr + 4 + HoleInt32VonAdresse(CodeAdr) = StrAdr then
  begin
    RelativeReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 4);
  end
  else Inc(CodeAdr);
end;

Der Test auf RIP-relatives 32-Bit-Offset hier nimmt an, dass es immer am Ende eines Befehls steht (wie im Beispiel 48 8D 0D BC 1D BD 00). Deswegen "CodeAdr + 4": das ist der Wert, der für RIP an dieser Stelle vermutet wird. Ob das 100% korrekt ist, weiß ich nicht, aber bei den meisten Befehlen sollte es so sein.