Вопрос Поиск смещений структур

[EclipsedFlow]

Всем здравствуйте.
Задаюсь вопросом почему такие странные смещения, так ещё и деляться на 8, а в некоторых исходниках на 4.
Как я понял это смещения виртуальных функции класса, можете объяснить как их находить и по возможности как использовать?

// Один из исходников

namespace _IActor
{
    // static DWORD64 idx_CPlayer = 3344;
    static DWORD64 v_GetCurrentItem = 464 / 8;//++
    static DWORD64 v_GetAnimationGraphState = 296 / 8;//++
    static DWORD64 v_GetHealth = 224 / 8;//?  v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetHealth))(v7);
    static DWORD64 v_GetMaxHealth = 256 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetMaxHealth))(v7);
    static DWORD64 v_GetArmor = 264 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetArmor))(v7);
    static DWORD64 v_GetMaxArmor = 272 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetMaxArmor))(v7);
    static DWORD64 v_SetViewRotation = 416 / 8;//++
    static DWORD64 v_RecoilAnimation = 736 / 8;
};

 

[Doza_People]

Всем здравствуйте.
Задаюсь вопросом почему такие странные смещения, так ещё и деляться на 8, а в некоторых исходниках на 4.
Как я понял это смещения виртуальных функции класса, можете объяснить как их находить и по возможности как использовать?

// Один из исходников

namespace _IActor
{
    // static DWORD64 idx_CPlayer = 3344;
    static DWORD64 v_GetCurrentItem = 464 / 8;//++
    static DWORD64 v_GetAnimationGraphState = 296 / 8;//++
    static DWORD64 v_GetHealth = 224 / 8;//?  v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetHealth))(v7);
    static DWORD64 v_GetMaxHealth = 256 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetMaxHealth))(v7);
    static DWORD64 v_GetArmor = 264 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetArmor))(v7);
    static DWORD64 v_GetMaxArmor = 272 / 8;//? v8 = (*(int (__fastcall **)(__int64))(*(_QWORD *)v7 + GetMaxArmor))(v7);
    static DWORD64 v_SetViewRotation = 416 / 8;//++
    static DWORD64 v_RecoilAnimation = 736 / 8;
};

В некоторых делится на 4 потому-что игрока раньше была 32 битная, а щас делится на 8 потому что игра стала 64 битной

 

[EclipsedFlow]

В некоторых делится на 4 потому-что игрока раньше была 32 битная, а щас делится на 8 потому что игра стала 64 битной

Это я понимаю почему 4 и 8, но почему (смещение / 8) не особо понимаю

 

[Arkting]

Это я понимаю почему 4 и 8, но почему (смещение / 8) не особо понимаю

ты не понимаешь почему делится на 8 или как узнать что индекс должен делится на 8?

 

[EclipsedFlow]

ты не понимаешь почему делится на 8 или как узнать что индекс должен делится на 8?

Раньше я не встречал что смещение делят на размер тип данных(8 в случае с варфейс x64). Почему просто не указать смещение?
Можно сказать я не знаю первого и второго.

 

[Arkting]

Раньше я не встречал что смещение делят на размер тип данных(8 в случае с варфейс x64). Почему просто не указать смещение?
Можно сказать я не знаю первого и второго.

если вкраце, определить что перед тобой виртуальный индекс очень просто
допустим найдем GetIGameFramework ( ищем строку sp_difficulty в IDA PRO, переходим по первому сабу и переходим в псевдокод )

В нашем случае, v4 = .... + 0x78i64 это и есть виртуальный индекс функции GetIGameFramework. В IDA для определения виртуального индекса используется приставочное i64.

Как нам выйти на это в коде? Для этого используется метод виртуальной таблицы VTable ( он есть в каждой пасте/сурсе )

template<typename VTable>
VTable Virtual( PVOID Call, DWORD64 Index ) {
    return (*(VTable** )Call )[Index / 8]; // в некоторых сурсах не делят на 8 через код, а делаю это вручную и пишут просто [Index]
}

Теперь, что бы написать функцию GetIGameFramework нам понадобится этим воспользоваться
IGameFramework* GetIGameFramework() { return Virtual<IGameFramework* (__fastcall*)(PVOID64)>(this, 0x78)(this); }

 

[EclipsedFlow]

если вкраце, определить что перед тобой виртуальный индекс очень просто
допустим найдем GetIGameFramework ( ищем строку sp_difficulty в IDA PRO, переходим по первому сабу и переходим в псевдокод )
Посмотреть вложение 214342
В нашем случае, v4 = .... + 0x78i64 это и есть виртуальный индекс функции GetIGameFramework. В IDA для определения виртуального индекса используется приставочное i64.

Как нам выйти на это в коде? Для этого используется метод виртуальной таблицы VTable ( он есть в каждой пасте/сурсе )

template<typename VTable>
VTable Virtual( PVOID Call, DWORD64 Index ) {
    return (*(VTable** )Call )[Index / 8]; // в некоторых сурсах не делят на 8 через код, а делаю это вручную и пишут просто [Index]
}

Теперь, что бы написать функцию GetIGameFramework нам понадобится этим воспользоваться
IGameFramework* GetIGameFramework() { return Virtual<IGameFramework* (__fastcall*)(PVOID64)>(this, 0x78)(this); }

И лайк не где поставить, спасибо за ответы всем.

 

[EclipsedFlow]

если вкраце, определить что перед тобой виртуальный индекс очень просто
допустим найдем GetIGameFramework ( ищем строку sp_difficulty в IDA PRO, переходим по первому сабу и переходим в псевдокод )
Посмотреть вложение 214342
В нашем случае, v4 = .... + 0x78i64 это и есть виртуальный индекс функции GetIGameFramework. В IDA для определения виртуального индекса используется приставочное i64.

Как нам выйти на это в коде? Для этого используется метод виртуальной таблицы VTable ( он есть в каждой пасте/сурсе )

template<typename VTable>
VTable Virtual( PVOID Call, DWORD64 Index ) {
    return (*(VTable** )Call )[Index / 8]; // в некоторых сурсах не делят на 8 через код, а делаю это вручную и пишут просто [Index]
}

Теперь, что бы написать функцию GetIGameFramework нам понадобится этим воспользоваться
IGameFramework* GetIGameFramework() { return Virtual<IGameFramework* (__fastcall*)(PVOID64)>(this, 0x78)(this); }

У тебя наверное старый дамп или у меня(я вчера делал), у меня смещение уже отличается

 

[RED-SKY]

У тебя наверное старый дамп или у меня(я вчера делал), у меня смещение уже отличается
Посмотреть вложение 214355

Одинаково.
Просто выше в Hex, а в вашем случае Dec.

 

[EclipsedFlow]

Одинаково.
Просто выше в Hex, а в вашем случае Dec.

Мой прокол, правильно все