1. 從動(dòng)態(tài)地址到靜態(tài)指針逆向分析的核心路徑在游戲逆向或者軟件分析里找到一個(gè)關(guān)鍵數(shù)據(jù)的“家”——也就是它在內(nèi)存里的地址——是后續(xù)所有操作的基礎(chǔ)。但內(nèi)存地址不是一成不變的每次重啟程序甚至每次進(jìn)入游戲場(chǎng)景數(shù)據(jù)存放的位置都可能發(fā)生變化。這種每次運(yùn)行都變動(dòng)的地址我們稱之為“動(dòng)態(tài)地址”。直接使用動(dòng)態(tài)地址寫外掛或修改器就像用一張每次都會(huì)失效的地圖去找寶藏顯然不靠譜。所以我們的目標(biāo)是從這個(gè)飄忽不定的動(dòng)態(tài)地址出發(fā)找到背后那個(gè)“不動(dòng)”的參照物——靜態(tài)地址或者更常見的一個(gè)穩(wěn)定的指針鏈。這個(gè)過程就是標(biāo)題里提到的“挖掘關(guān)鍵數(shù)據(jù)內(nèi)存真實(shí)地址”的完整流程。它不僅僅是找到幾個(gè)數(shù)字更是理解程序如何組織和管理內(nèi)存的思維訓(xùn)練。今天我就以經(jīng)典的“查找子彈數(shù)量”為例手把手帶你走一遍這個(gè)流程把 Cheat Engine (CE) 這個(gè)神器用透。你會(huì)發(fā)現(xiàn)很多看似復(fù)雜的游戲數(shù)據(jù)其尋址邏輯都有章可循。2. 環(huán)境準(zhǔn)備與目標(biāo)鎖定為何選擇“子彈數(shù)”在開始動(dòng)手之前明確目標(biāo)和搭建環(huán)境同樣重要。我們選擇“子彈數(shù)量”作為突破口是因?yàn)樗诮^大多數(shù)射擊類游戲中都滿足幾個(gè)理想的分析條件數(shù)值類型明確通常是4字節(jié)整數(shù)、數(shù)值變化頻繁開槍就減少、且是玩家核心狀態(tài)數(shù)據(jù)。這能讓我們?cè)贑E中快速、準(zhǔn)確地定位。首先你需要準(zhǔn)備兩樣?xùn)|西一個(gè)目標(biāo)程序比如某款單機(jī)射擊游戲和 Cheat Engine。CE的版本不是關(guān)鍵但建議使用較新的穩(wěn)定版。這里有個(gè)小技巧對(duì)于某些有反作弊保護(hù)的游戲你可能需要先關(guān)閉游戲再以管理員身份運(yùn)行CE然后通過CE的進(jìn)程列表附加游戲進(jìn)程而不是直接打開CE加載游戲。這有時(shí)能繞過一些簡(jiǎn)單的檢測(cè)。打開游戲進(jìn)入一個(gè)可以自由射擊的場(chǎng)景。記住我們分析的是單機(jī)游戲或本地?cái)?shù)據(jù)這是學(xué)習(xí)和研究逆向技術(shù)的合法場(chǎng)景。一切操作的目的在于理解計(jì)算機(jī)原理請(qǐng)務(wù)必遵守相關(guān)法律法規(guī)不要將技術(shù)用于破壞他人游戲體驗(yàn)或非法用途。打開CE點(diǎn)擊左上角的電腦圖標(biāo)在進(jìn)程列表中找到你的游戲進(jìn)程并附加。附加成功后CE標(biāo)題欄會(huì)顯示進(jìn)程名和ID。準(zhǔn)備工作就緒我們的狩獵即將開始。3. 第一輪掃描精確捕捉動(dòng)態(tài)地址現(xiàn)在游戲里你的步槍子彈假設(shè)是30發(fā)。我們?cè)贑E的“數(shù)值”輸入框里輸入“30”。數(shù)值類型選擇“4字節(jié)”因?yàn)檎麛?shù)子彈數(shù)通常用4字節(jié)存儲(chǔ)。掃描類型選擇“精確數(shù)值”。點(diǎn)擊“首次掃描”。CE會(huì)瞬間列出內(nèi)存中所有值為30的4字節(jié)地址這個(gè)列表可能非常長(zhǎng)有幾千甚至幾萬個(gè)結(jié)果。這很正常內(nèi)存中巧合是30的數(shù)太多了?；氐接螒蜷_一槍子彈變成29。立刻切回CE在數(shù)值輸入框?qū)?0改為29然后點(diǎn)擊“再次掃描”。CE會(huì)從上一次的結(jié)果中篩選出值變?yōu)?9的地址。如此反復(fù)幾次開槍 - 數(shù)值減少 - 再次掃描。通常經(jīng)過3到5次變化列表中的地址會(huì)迅速減少到個(gè)位數(shù)甚至只剩下一個(gè)。這個(gè)或這幾個(gè)地址就是我們要找的“子彈數(shù)量”的動(dòng)態(tài)地址。雙擊這個(gè)地址它會(huì)出現(xiàn)在CE下方的地址列表中。你可以嘗試修改這個(gè)地址的值比如改成999然后回游戲看看子彈數(shù)是否變化來最終確認(rèn)。這就是動(dòng)態(tài)地址它只在本次游戲運(yùn)行中有效。注意有時(shí)候你會(huì)發(fā)現(xiàn)篩選后還剩好幾個(gè)地址都隨著子彈數(shù)變化。這可能是因?yàn)橛螒虼鎯?chǔ)了多個(gè)副本比如UI顯示用一個(gè)邏輯計(jì)算用另一個(gè)或者有加密。這時(shí)需要結(jié)合“改變的數(shù)值”和“未改變的數(shù)值”掃描類型或者觀察哪個(gè)地址被其他代碼訪問得更頻繁來進(jìn)一步判斷。4. 逆向追蹤找出是誰在“告訴”動(dòng)態(tài)地址找到了動(dòng)態(tài)地址比如0x0456A7B0我們的工作才完成了一半。關(guān)鍵的一步是“找出是什么指令在訪問這個(gè)地址”。因?yàn)樵L問它的指令很可能就包含著計(jì)算這個(gè)地址的線索基地址和偏移。在CE的地址列表里右鍵點(diǎn)擊我們找到的動(dòng)態(tài)地址選擇“找出是什么改寫了這個(gè)地址”。CE會(huì)彈出一個(gè)空窗口?；氐接螒蛟匍_一槍讓子彈數(shù)發(fā)生變化。此時(shí)CE的窗口會(huì)立即捕獲到一條或多條匯編指令。你會(huì)看到類似這樣的信息mov [eax10], ecx或者dec dword ptr [esi0000010C]這條指令就是修改子彈數(shù)的“元兇”。更重要的是方括號(hào)[ ]里面的內(nèi)容例如[eax10]或[esi0000010C]就是子彈數(shù)據(jù)的“地址表達(dá)式”。eax或esi是寄存器它們里面存儲(chǔ)的通常是一個(gè)“基地址”而10或0000010C就是偏移量。我們的動(dòng)態(tài)地址0x0456A7B0就等于eax的值加上0x10。所以現(xiàn)在的任務(wù)變成了找出此時(shí)此刻eax寄存器里的值是什么。在指令顯示窗口通常CE會(huì)直接顯示eax0456A7A0這樣的信息。那么0456A7A0 10 0456A7B0正好是我們的動(dòng)態(tài)地址。這個(gè)0456A7A0很可能也是一個(gè)動(dòng)態(tài)地址但它層級(jí)更高。我們記下這個(gè)基地址0456A7A0和偏移10。然后對(duì)這個(gè)基地址0456A7A0重復(fù)上述過程在地址列表中手動(dòng)添加它然后右鍵“找出是什么訪問了這個(gè)地址”注意這次是“訪問”不一定是“改寫”因?yàn)榛刂房赡苤皇潜蛔x取用于計(jì)算。通過讓游戲角色移動(dòng)、切換武器等操作觸發(fā)相關(guān)代碼找出計(jì)算0456A7A0的指令。假設(shè)我們找到指令是mov eax, [ebx04]并且顯示ebx0456A700。那么0456A7A0 [0456A70004]。這里0456A700是第二層基地址04是第二層偏移。我們繼續(xù)追查0456A700。再次“找出是什么訪問了這個(gè)地址”。可能又找到指令mov ebx, [game.exe10A2F4]。這條指令非常關(guān)鍵game.exe是模塊名10A2F4是一個(gè)固定的偏移。game.exe10A2F4就是一個(gè)“靜態(tài)地址”因?yàn)槟K如 game.exe在每次程序加載時(shí)雖然基地址會(huì)變這就是ASLR地址空間布局隨機(jī)化但模塊內(nèi)的偏移10A2F4是編譯時(shí)就確定的不會(huì)變。5. 構(gòu)建指針鏈與靜態(tài)地址分析通過層層追查我們得到了一條指針鏈子彈數(shù)量 [[[game.exe 10A2F4] 04] 10]我們來拆解一下game.exe 10A2F4這是最根本的靜態(tài)地址。game.exe是模塊基地址每次啟動(dòng)會(huì)變但CE和系統(tǒng)都能獲取到它當(dāng)前的值。10A2F4是模塊內(nèi)的固定偏移。取這個(gè)地址里存儲(chǔ)的值假設(shè)是P1。P1 *(game.exe 10A2F4)。然后P1 04得到第二個(gè)地址P2。P2 P1 04。注意這里04是偏移。再取P2地址里存儲(chǔ)的值得到P3。P3 *(P2)。最后P3 10就得到了最終存儲(chǔ)子彈數(shù)量的動(dòng)態(tài)地址。子彈地址 P3 10。這個(gè)[[[game.exe 10A2F4] 04] 10]就是我們要找的“靜態(tài)指針路徑”。在CE的地址列表下方有一個(gè)“手動(dòng)添加地址”的按鈕。點(diǎn)擊后勾選“指針”在地址欄輸入最終的偏移10然后在指針列表里從最底層開始逐層添加 第一層game.exe10A2F4作為基址 第二層偏移04第三層偏移10注意這里10是十六進(jìn)制等于十進(jìn)制的16添加完成后CE會(huì)顯示一個(gè)計(jì)算結(jié)果。你回到游戲開槍改變子彈數(shù)看看這個(gè)指針計(jì)算出來的地址的值是否同步變化。如果同步恭喜你靜態(tài)指針找到了重啟游戲這個(gè)指針依然有效除非游戲更新改了代碼結(jié)構(gòu)。實(shí)操心得指針鏈的層級(jí)不一定都是三層可能更少或更多。關(guān)鍵在于找到那個(gè)以“模塊名固定偏移”開頭的表達(dá)式。有時(shí)候最底層的基址可能不是主模塊game.exe而是其他DLL比如UnityPlayer.dll或某個(gè)游戲引擎的dll原理完全相同。6. 靜態(tài)地址的深度分析與驗(yàn)證找到了game.exe10A2F4這個(gè)靜態(tài)地址我們還可以做更多分析。在CE中右鍵點(diǎn)擊這個(gè)地址選擇“瀏覽相關(guān)內(nèi)存區(qū)域”。你可以看到這個(gè)地址周圍的內(nèi)存數(shù)據(jù)。結(jié)合游戲的其他狀態(tài)比如生命值、坐標(biāo)通過反復(fù)改變游戲狀態(tài)并掃描你可能會(huì)發(fā)現(xiàn)game.exe10A2F4這個(gè)地址指向的是一個(gè)非常重要的數(shù)據(jù)結(jié)構(gòu)比如“玩家對(duì)象”或“本地玩家控制器”的起始地址。而04、10這些偏移就是這個(gè)數(shù)據(jù)結(jié)構(gòu)內(nèi)部各個(gè)成員變量子彈、生命、盔甲的偏移量。為了驗(yàn)證指針鏈的穩(wěn)定性重啟游戲是最直接的測(cè)試。重啟后用你構(gòu)建的指針再次添加地址看能否正確指向當(dāng)前的子彈數(shù)。此外還可以嘗試在游戲的不同場(chǎng)景如主菜單、不同關(guān)卡測(cè)試指針是否依然有效。有些數(shù)據(jù)只在游戲進(jìn)行時(shí)被分配和初始化指針在菜單界面可能指向無效內(nèi)存這是正常的。另一個(gè)高級(jí)技巧是使用CE的“結(jié)構(gòu)體分析”功能。如果你懷疑game.exe10A2F4指向的是一個(gè)結(jié)構(gòu)體可以嘗試讓CE“分析當(dāng)前內(nèi)存區(qū)域并生成結(jié)構(gòu)體”。這能幫你更系統(tǒng)地理解游戲內(nèi)存布局對(duì)于查找其他數(shù)據(jù)如坐標(biāo)、視角事半功倍。7. 流程總結(jié)與常見問題排查讓我們回顧一下完整的流程這其實(shí)是一個(gè)“由動(dòng)至靜逐層溯源”的標(biāo)準(zhǔn)化操作首次定位使用“精確數(shù)值”掃描配合數(shù)值變化鎖定目標(biāo)數(shù)據(jù)的動(dòng)態(tài)地址。指令分析對(duì)動(dòng)態(tài)地址使用“找出是什么改寫了/訪問了這個(gè)地址”獲取第一條匯編指令和地址表達(dá)式。提取基址與偏移從地址表達(dá)式如[eax10]中分離出當(dāng)前層的基址eax的值和偏移10。遞歸溯源將上一步得到的基址作為新的目標(biāo)重復(fù)步驟2和3找出計(jì)算它的上一級(jí)指令。抵達(dá)靜態(tài)層當(dāng)溯源到的指令形式為mov reg, [模塊名固定偏移]時(shí)即找到靜態(tài)地址。模塊名固定偏移就是指針鏈的根。構(gòu)建指針在CE中從根部的靜態(tài)地址開始按照溯源的順序倒序添加各級(jí)偏移構(gòu)建出完整的指針路徑。驗(yàn)證與測(cè)試用新指針添加地址跨游戲重啟、跨場(chǎng)景進(jìn)行驗(yàn)證確保其穩(wěn)定性。在這個(gè)過程中你肯定會(huì)遇到各種問題下面是一些典型的排查思路掃描結(jié)果過多或過快清零確保數(shù)值類型選對(duì)4字節(jié)整數(shù)最常見。如果數(shù)值變化太快嘗試使用“數(shù)值介于...之間”掃描或者使用“未改變的數(shù)值”來過濾?！罢页鍪鞘裁丛L問”沒有結(jié)果可能是你監(jiān)控的地址不對(duì)或者游戲使用了一種叫“寫入時(shí)復(fù)制”的技術(shù)。嘗試對(duì)地址進(jìn)行“暴力”修改比如鎖定為一個(gè)固定值如果游戲崩潰或行為異常說明地址是對(duì)的但訪問方式特殊。也可以嘗試搜索訪問該地址的代碼范圍。指針重啟后失效這是最讓人頭疼的。原因可能是你找到的“靜態(tài)地址”其實(shí)不是真正的靜態(tài)根它前面還有層級(jí)。需要繼續(xù)向上溯源。游戲使用了動(dòng)態(tài)分配對(duì)象地址每次運(yùn)行完全不同且沒有穩(wěn)定的全局指針指向它。這種情況下可能需要尋找一個(gè)特征碼一段獨(dú)特的匯編指令序列通過代碼注入的方式來定位。游戲更新了內(nèi)存布局變了。這是外部原因需要重新分析。偏移量是負(fù)數(shù)在匯編中偏移有時(shí)會(huì)用減法表示如[eax-10]。在CE構(gòu)建指針時(shí)偏移欄可以輸入負(fù)的十進(jìn)制數(shù)如-16對(duì)應(yīng)十六進(jìn)制-10。8. 從原理到實(shí)踐理解指針與內(nèi)存管理的本質(zhì)走完這個(gè)流程你不僅僅學(xué)會(huì)了一套CE操作更重要的是理解了程序在內(nèi)存中組織數(shù)據(jù)的常見模式。那個(gè)“模塊名固定偏移”的靜態(tài)地址通常指向一個(gè)全局變量或一個(gè)重要的單例對(duì)象。而后續(xù)的偏移鏈則是在這個(gè)對(duì)象內(nèi)部進(jìn)行導(dǎo)航。例如game.exe10A2F4可能指向一個(gè)GameManager全局實(shí)例。GameManager內(nèi)部有一個(gè)PlayerArray指針偏移04。PlayerArray[0]指向本地玩家對(duì)象偏移0。玩家對(duì)象內(nèi)部有一個(gè)WeaponInventory成員偏移10。當(dāng)前武器對(duì)象內(nèi)部有一個(gè)AmmoCount成員偏移XX。我們找到的指針鏈就是這條訪問路徑的逆向工程。這種“基址多級(jí)偏移”的尋址方式在C這類面向?qū)ο笳Z言編寫的程序中極其普遍對(duì)應(yīng)著對(duì)象的繼承、組合關(guān)系。理解了這一點(diǎn)你再看到復(fù)雜的指針鏈就不會(huì)發(fā)怵它很可能對(duì)應(yīng)著一個(gè)清晰的類結(jié)構(gòu)。最后我個(gè)人在實(shí)際操作中的體會(huì)是耐心和記錄至關(guān)重要。逆向分析就像偵探破案每一個(gè)線索地址、指令都要記錄下來。我習(xí)慣用記事本或思維導(dǎo)圖工具把每次找到的指令、寄存器值、偏移量都記下來并畫出示意圖。這不僅能幫助理清思路當(dāng)分析中斷幾天后再回來時(shí)也能快速接上。另外不要害怕讓游戲崩潰在安全的測(cè)試環(huán)境下崩潰往往是告訴你“此路不通”或“操作有誤”的最直接反饋。每一次崩潰都能讓你對(duì)游戲的內(nèi)存保護(hù)機(jī)制有更深的認(rèn)識(shí)。