如何在IDA中修改十六进制补丁以指向指定DWORD（Hex补丁移植）

核心原理 #

你要修改的mov cs:dword_1809EB414, eax属于64位x86的RIP相对寻址指令，编码结构固定：

• 操作码：89 05（对应mov [RIP+偏移量], eax，cs段默认可省略）
• 4字节小端序偏移量：这个值是「目标DWORD地址 - 当前mov指令下一条指令的地址」

旧版本里的DD 83 7D 00就是该偏移量的小端表示，你需要替换这4个字节为新计算的值。

具体操作步骤 #

1. 获取关键地址

   • 在IDA新版本中，找到xor eax, eax后面的mov指令起始地址，记为MOV_ADDR（反汇编窗口中指令左侧的地址）。
   • 目标DWORD地址固定为0x1809EB414（即dword_1809EB414的地址）。

2. 计算新偏移量
   使用公式计算：

   偏移量 = 0x1809EB414 - (MOV_ADDR + 6)
   

   （注：mov指令总长度为6字节，2字节操作码+4字节偏移，因此下一条指令地址是MOV_ADDR + 6）

3. 转换为小端字节序
   把计算出的偏移量转为4字节十六进制，再按小端序排列（低字节在前，高字节在后）。

4. 替换十六进制
   找到原十六进制中89 05后面的4个字节，替换为你计算出的小端十六进制值即可。

示例计算（假设MOV_ADDR为0x1809D44FC） #

• 下一条指令地址 = 0x1809D44FC + 6 = 0x1809D4502
• 偏移量 = 0x1809EB414 - 0x1809D4502 = 0x16F12
• 转4字节十六进制为00 01 6F 12，小端序后为12 6F 01 00
• 替换后完整十六进制序列：31 C0 89 05 12 6F 01 00 90 90 90 90 90

验证 #

修改十六进制后，在IDA中右键点击该地址选择「Refresh」，查看反汇编是否显示为mov cs:dword_1809EB414, eax，确认无误即可。

内容的提问来源于stack exchange，提问作者Keeboy