根据虚拟地址获取实际地址

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
#include <stdio.h>
#include <stdlib.h>

int main()
{
	int *pInt = (int *)malloc(sizeof(int));
	getchar();
	*pInt = 3;
	getchar();
	free(pInt);
	return 0;
}

gcc main.cpp -g -o main

1
2
 readelf -l core.8344

1
2
3
4
0x7fffffffdea8
虚拟地址
将之前获取的虚拟地址到实际地址的转化保存到一个文本里，然后搜索0x7fffffffdea8，找到符合的区间。如下图，就是我找到的区间。

1
2
3
虚拟地址包含在0x00007ffffffde000
对应的实际地址0x000000000007c430

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
	0x7fffffffdea8
-	0x7ffffffde000				
	0x00000001FEA8
求出虚拟地址按照起始地址偏移了0x00000001FEA8
因为实际地址映射到虚拟地址上，因此虚拟地址偏移多少，实际地址就会偏移多少。
求取数据实际位置。

	0x000000000007c430
+	0x000000000001FEA8
	0x000000000009C2D8
	
偏移获取文件数据。根据地址获取真实的数据。

hexdump -s0x000000000009C2D8 -n8 -C core.8344
发现好玩了吧根据int**的地址获取到的实际是int*的地址
我用的小端linux因此
实际的虚拟地址为0x00005555555592a0
64位所以我获取的长度是8位

1
2
3
4
5
6
7
8
9
10
0x5555555592a0
0x555555559000

0x4430
0x02a0
0x46d0

0x0000000000004430
0x00000000000046d0