如何在已获取的系统物理RAM中定位十六进制字符串并获取其相对文件起始位置？

阿华AIGC实验室

2026-5-12

嘿，我来帮你搞定这个问题——在物理RAM里定位特定十六进制串，然后算出它相对于原始文件起始位置的偏移，对吧？我给你梳理下具体的实现思路和关键步骤，都是实操性的内容：

核心逻辑梳理

首先得明确两个关键关联：

你要扫描的RAM区域，本质是目标文件被系统加载到内存后的映射区域，所以内存地址和原始文件的偏移是有对应关系的
用if做比对校验，本质就是逐字节（或按特征串长度）遍历内存，逐一匹配十六进制序列的过程

具体实现步骤

1. 先拿到目标文件的内存映射关键信息

这一步是基础，你得先搞清楚目标文件在内存中的加载基地址——也就是文件内容在RAM里的起始位置：

如果是Windows平台，可以用GetModuleInformation这类API获取进程模块的加载基址和内存大小；
如果是Linux平台，直接读取/proc/[目标进程PID]/maps文件，就能拿到模块的内存地址范围和对应的文件路径。

另外，如果目标是PE/ELF这类有结构的可执行文件，最好顺便解析它的节表信息（比如PE的IMAGE_SECTION_HEADER），因为内存中的节地址和文件中的原始偏移可能有差异，后续需要精准转换。

2. 遍历内存并匹配十六进制特征串

首先把你要找的十六进制字符串转换成字节数组（比如把E8 3F 00 00 00转成{0xE8, 0x3F, 0x00, 0x00, 0x00}），然后逐段遍历内存做比对：

遍历过程中，每次取当前内存地址的N个字节（N是特征串的长度），用嵌套的if循环逐一校验每个字节是否匹配；
一定要注意内存访问权限，提前检查页面是否可读，避免非法访问导致程序崩溃（Windows用VirtualQuery，Linux用mincore或直接捕获信号）。

给你一段C++风格的示例代码，直观感受下：

#include <cstdint>
#include <vector>

typedef unsigned char byte;

bool FindSignatureInRAM(uintptr_t baseAddr, size_t memSize, const byte* signature, size_t sigLen, uintptr_t& outFoundAddr) {
    for (uintptr_t i = 0; i <= memSize - sigLen; ++i) {
        uintptr_t currentAddr = baseAddr + i;
        bool isMatch = true;

        for (size_t j = 0; j < sigLen; ++j) {
            // 读取内存字节，这里要确保内存可读
            byte currentByte = *(byte*)(currentAddr + j);
            if (currentByte != signature[j]) {
                isMatch = false;
                break;
            }
        }

        if (isMatch) {
            outFoundAddr = currentAddr;
            return true;
        }
    }
    return false;
}

// 调用示例
// byte signature[] = {0xE8, 0x3F, 0x00, 0x00, 0x00};
// uintptr_t foundAddr;
// if (FindSignatureInRAM(moduleBase, moduleSize, signature, sizeof(signature), foundAddr)) {
//     // 计算文件偏移
// }

3. 计算相对于文件起始位置的偏移

找到匹配的内存地址后，分两种情况计算文件偏移：

简单场景（无节区偏移差异）：如果是普通文件（非可执行文件）直接加载到内存，那么文件偏移 = 匹配到的内存地址 - 文件加载基地址；
可执行文件场景：如果是PE/ELF这类有节区的文件，需要先找到匹配地址所在的节，用公式：
```
文件偏移 = (匹配内存地址 - 节的虚拟起始地址) + 节的原始文件偏移
```
举个例子：匹配地址是0x00401000，所在节的虚拟起始地址是0x00401000，节的原始文件偏移是0x00001000，那文件偏移就是(0x00401000 - 0x00401000) + 0x00001000 = 0x00001000。