为何用Ollydbg无法在微软记事本/IE内存中找到目标数据？

咱们拆解下为什么Notepad++能成功定位到目标数据，而IE和原生记事本不行，核心差异在于不同程序加载、处理文件的逻辑完全不同：

1. 文本编辑器的内存加载逻辑差异 #

Notepad++属于轻量级纯文本编辑器，它加载文件时基本是原样读取原始字节到内存（默认用ASCII/UTF-8编码加载的话，不会修改原始字节序列），所以你写入的AEAEAE...对应的十六进制0x41454145...会原封不动保存在内存的可访问区域里，OllyDbg自然能通过内存搜索找到。

而Windows原生记事本在Win8系统下，默认会用UTF-16LE编码加载文本文件——这意味着原本单字节的ASCII字符A（0x41）和E（0x45）会被转换成双字节的0x4100和0x4500，原始的连续0x4145序列被拆成了0x41004500...，你再搜索原来的十六进制串肯定找不到。

2. 浏览器的HTML解析机制 #

Internet Explorer是浏览器，它打开HTML文件时不是简单读取字节，而是会启动HTML解析引擎处理整个文档：

• 先解析文档结构，识别<head>、<body>等标签；
• <head>里的内容会被转换成浏览器内部的字符串表示（通常是宽字符格式），原始的ASCII字节流会被丢弃或转换；
• 最终内存里存储的是解析后的结构化数据，不是你写入的原始字节序列，所以自然搜不到目标十六进制值。

3. 内存区域的类型差异 #

你在OllyDbg里碰到的满是?、标记为Priv的内存块，是进程的私有（Private）内存区域——这类内存是进程动态分配的堆内存，用来存储程序运行时的内部数据（比如浏览器解析后的DOM结构、记事本转换后的宽字符文本），而不是直接映射自文件的内存区域。

Notepad++的文件内容通常是通过内存映射文件加载的，会在memory map里显示为对应文件的映射区域，权限和类型都和私有内存不同，所以你能轻松定位到原始字节。

内容的提问来源于stack exchange，提问作者Matthew