Python加载的文件哪里去了？

在上一篇文章中提到一个问题就是加载的文件不知道哪里去了，虽然用id()函数可以看到加载的地址。但是这个地址在访问的时候却是要么地址不可用，要么就是和文件中的数据不同。于是直接用Python测试了一下。测试代码就是上面的样子。

用ImmDbg挂在python.exe，在内存中访问上面得到的地址。需要注意的是，在python.exe模块中是无法访问到这个地址的，要切换到python26.dll模块中。对应的内存地址如下：

通过id得到的是变量的地址不错，但是这个是一个结构体，如果没猜错应该是下面这个东东：

#define PyBytesObject PyStringObject

typedef struct {
PyObject_VAR_HEAD
long ob_shash;
int ob_sstate;
char ob_sval[1];

/* Invariants:
* ob_sval contains space for 'ob_size+1' elements.
* ob_sval[ob_size] == 0.
* ob_shash is the hash of the string or -1 if not computed yet.
* ob_sstate != 0 iff the string object is in stringobject.c's
* 'interned' dictionary; in this case the two references
* from 'interned' to this object are *not counted* in ob_refcnt.
*/
} PyStringObject;

所以本质上Bytes和String是一个东东，现在来看看这个猜测对不对。

按照定义对这篇内存进行分析：

但是对应的内存中的数据最后的hash 为FFFFFFFF。在通过上面的计算之后Python却又将这个数据给更新了。如下图：
 
对应的文件数据位于+0x14处。这也就是文件加载到内存之后的内存对应的数据。同样通过分配的内存可以看出整个结构结构体的头部和数据的关系：0xa6=0x90+0x14+0x2（结束符）
虽然直接在python中整个数据非常直观，干事在ImmDbg调试器中去找这个东西却又找不到了，因为进程没有加载python模块。话说谁知道这个东东怎么找？还望不吝赐教。
 
怎么发现越分析越蛋疼嗫。
 


☆版权☆
* 网站名称：obaby@mars

 * 网址：https://h4ck.org.cn/

 * 个性：https://oba.by/

  * 本文标题： 《Python加载的文件哪里去了？》

* 本文链接：https://h4ck.org.cn/2012/08/4421

* 短链接：https://oba.by/?p=4421

* 转载文章请标明文章来源，原文标题以及原文链接。请遵从 《署名-非商业性使用-相同方式共享 2.5 中国大陆 (CC BY-NC-SA 2.5 CN) 》许可协议。