在逆向工程中，初学者经常会遇到一个令人头疼的问题：你在 Cheat Engine (CE) 中找到的动态内存地址，在 IDA Pro 的静态分析界面里死活对不上。

这是因为现代操作系统普遍启用了 ASLR（地址空间布局随机化） 技术。每次程序运行时，基地址都会发生变化。为了提高分析效率，我们需要将 IDA 的基址“同步”到动态运行时的基址。

为什么地址会不统一？

在进入操作之前，我们需要理解两个概念：

  1. 静态基址 (Static Base Address)： 这是程序在磁盘上时，IDA 默认加载的虚拟地址（通常是 0x400000 或 0x140000000）。

  2. 动态基址 (Dynamic Base Address)： 由于 ASLR 的存在，程序加载到内存时，操作系统会随机分配一个起始地址。

如果不统一这两者，你在 CE 里看到的地址（如 Base + 0x1234）和 IDA 里的地址将完全无法对应，导致你难以定位关键函数。

第一步：在 Cheat Engine 中获取实时基址

我们不需要复杂的工具，CE 自带的“手动添加地址”功能就能帮我们快速解析当前的模块基址。

  1. 附加进程： 打开 CE 并挂载到目标游戏或程序。

  2. 添加地址： 点击界面右侧的 “Add Address Manually”（手动添加地址）。

  3. 输入文件名： 在弹出窗口的 “Address” 栏中，直接输入该程序的可执行文件名。

    • 例如：Tutorial-x86_64.exe 或 Game.exe。

  4. 读取结果： 点击确定后，地址列表里会显示一个十六进制数值（如 0x7FF70E100000）。

    • 提示： 这个数值就是该程序当前的内存基址。

第二步：在 IDA Pro 中重定位基址 (Rebase)

获取到动态基址后，我们需要让 IDA 把整个工程的地址线往后“挪”到对应的位置。

  1. 打开菜单： 在 IDA 中依次点击顶栏菜单：

    • Edit (编辑) -> Segments (段) -> Rebase Program... (重定位程序)

  2. 输入基址： 在弹出的窗口中，将刚才在 CE 中获取到的十六进制基址填入 “Value” 框中。

  3. 确认同步： 点击 OK。IDA 会花费一点时间重新计算所有函数和变量的地址。

  4. 验证： 重新检查 IDA 左下角的地址栏。你会发现现在的地址已经和 CE 中的内存地址完美对齐了。

进阶技巧：使用偏移量 (Offset)

如果你不想频繁重定位 IDA 基址，另一种通用的做法是使用偏移量。

  • 计算公式： 目标地址 - 模块基址 = 相对偏移 (RVA)

  • 应用： 只要你算出了 RVA，无论基址怎么变，只要在 IDA 里按快捷键 G (Jump to Address)，输入 Base + 偏移量 即可。

注意：这种同步方法同样适用于调试器（如 x64dbg）。在 x64dbg 中查看模块列表获取基址，然后在 IDA 中执行 Rebase，效果是一样的。