1. 從“作弊”到“逆向”Cheat Engine的深度價值再認識一提到Cheat Engine很多人的第一反應是“游戲修改器”。沒錯它最初確實是為了修改單機游戲的內(nèi)存數(shù)據(jù)實現(xiàn)“無敵”、“無限金幣”這類功能而誕生的。但如果你僅僅把它當作一個“作弊工具”那就大大低估了它的價值。在我十多年的逆向工程和軟件分析工作中Cheat Engine后文簡稱CE一直是我工具箱里不可或缺的“瑞士軍刀”。它本質(zhì)上是一個功能極其強大的內(nèi)存掃描、調(diào)試和分析平臺是理解計算機程序運行時狀態(tài)、學習軟件逆向工程、乃至進行安全漏洞分析的絕佳入門階梯。對于初學者來說CE提供了一個圖形化、可視化的窗口讓你能直觀地看到程序在內(nèi)存中“活”的樣子。你不再需要面對冰冷的匯編指令和十六進制代碼望而卻步而是可以通過搜索數(shù)值、查看內(nèi)存變化、甚至直接注入代碼來與程序互動。這個過程正是理解“程序如何工作”的核心。無論是想了解游戲機制背后的邏輯分析某個軟件的注冊驗證流程還是單純對“計算機如何運行程序”感到好奇CE都能提供一個低門檻、高反饋的學習路徑。本教程將基于最新的Cheat Engine 7.4版本帶你進行一次系統(tǒng)性的深度訓練。我們的目標不是簡單地教你如何“開掛”而是讓你掌握CE的核心工作流和思維方式從而能夠獨立分析、理解和干預一個運行中的進程。你會發(fā)現(xiàn)掌握了這些技能你眼中的軟件世界將變得完全不同。2. 核心工作流CE是如何“思考”的要熟練使用CE首先必須理解它的核心工作流。這個流程是線性的、邏輯嚴密的幾乎適用于所有內(nèi)存掃描場景。我們可以把它總結為“附加、掃描、鎖定、分析”四步循環(huán)。2.1 第一步進程附加與內(nèi)存空間窺探啟動CE后你看到的第一個重要界面就是進程列表點擊左上角的電腦圖標。這里列出了你系統(tǒng)上所有正在運行的進程。選擇一個目標進程比如一個游戲點擊“Open”CE就成功“附加”到了這個進程上。注意附加進程需要相應的權限。如果遇到無法附加的情況尤其是對某些有反作弊或保護機制的程序可以嘗試以管理員身份運行CE。但請務必遵守法律法規(guī)和軟件用戶協(xié)議僅將技術用于合法的學習和研究場景。成功附加后CE就獲得了讀取和寫入該進程內(nèi)存空間的權限。此時左側(cè)的“Address List”地址列表區(qū)域還是空的因為我們還沒有找到任何有用的內(nèi)存地址。整個工作流的核心就是通過不斷的“掃描”從進程龐大的內(nèi)存空間中通常是幾個GB定位到存儲我們感興趣數(shù)據(jù)比如生命值、金錢數(shù)的那個或那幾個“字節(jié)”。2.2 第二步內(nèi)存掃描的藝術與策略點擊“First Scan”首次掃描按鈕會彈出掃描參數(shù)設置窗口。這是CE最強大也最需要理解的部分。掃描的本質(zhì)是“大海撈針”而掃描策略就是你的“撈針指南”。1. 數(shù)值類型Value Type這是最關鍵的選擇。它告訴CE你要找的數(shù)據(jù)在內(nèi)存中是以什么格式存儲的。4 Bytes4字節(jié)最常用的類型。絕大多數(shù)整數(shù)如生命值、經(jīng)驗值、物品數(shù)量在32位和64位程序中通常以4字節(jié)整數(shù)存儲。Float單精度浮點數(shù)用于存儲帶小數(shù)點的數(shù)值比如坐標X, Y, Z、百分比、時間等。Double雙精度浮點數(shù)更高精度的浮點數(shù)在一些對精度要求高的計算中使用。String字符串用于查找文本比如玩家名字、物品名稱。需要指定字符串的編碼如UTF-8。Array of byte字節(jié)數(shù)組最底層的搜索用于查找特定的機器碼或數(shù)據(jù)模式適合高級用途。2. 掃描類型Scan TypeExact Value精確值你知道當前的確切數(shù)值時使用。比如你知道生命值是100就搜100。Unknown initial value未知初始值當你不知道數(shù)值是多少但知道它會變化時使用。CE會記錄下所有可讀內(nèi)存區(qū)域的狀態(tài)作為后續(xù)變化比較的基準。Increased value / Decreased value數(shù)值增加/減少在已知初始值未知或首次掃描結果太多時通過數(shù)值的變化來過濾。比如被攻擊后生命值減少就選“Decreased value”。Changed value / Unchanged value數(shù)值改變/未改變更寬泛的過濾不關心增減只關心是否變化。3. 內(nèi)存掃描范圍與速度的權衡默認的“All”全部范圍會掃描進程的整個可訪問內(nèi)存雖然全面但可能較慢。對于游戲有時可以嘗試“Writable”可寫或“Executable”可執(zhí)行區(qū)域來縮小范圍因為關鍵的游戲狀態(tài)數(shù)據(jù)通常存儲在可寫區(qū)域。不過對于初學者建議先使用“All”。首次掃描后左側(cè)地址列表可能會返回成千上萬個結果。別擔心這正是逆向分析的精髓所在——通過不斷變化的條件逐步縮小范圍。2.3 第三步動態(tài)過濾與精確鎖定地址假設我們搜索生命值100得到了500個地址。我們無法確定哪個是真正的生命值地址。這時我們需要讓游戲中的生命值發(fā)生變化比如受到一次傷害然后在CE中再次掃描。讓游戲內(nèi)生命值從100變成80。在CE的掃描值輸入框里將掃描類型改為“Decreased value”減少的值點擊“Next Scan”。CE會將上次的500個地址與當前內(nèi)存狀態(tài)對比只保留那些值減少了且減少幅度匹配的地址。結果可能銳減到幾十個甚至幾個。重復這個過程讓生命值再次變化吃藥恢復或再次受傷繼續(xù)用“Increased value”或“Decreased value”掃描。通常經(jīng)過2-4次變化過濾就能將地址鎖定到唯一的一個或少數(shù)幾個。找到疑似地址后你可以將其添加到下方的地址列表中。右鍵點擊地址選擇“Browse this memory region”可以打開內(nèi)存瀏覽器查看該地址周圍的數(shù)據(jù)結構這有助于你發(fā)現(xiàn)更多相關數(shù)據(jù)比如緊挨著的魔力值、體力值地址。2.4 第四步地址鎖定、修改與代碼注入將找到的地址拖到下方地址列表后你可以查看與修改雙擊地址的“Value”列可以直接輸入新值并鎖定激活前面的復選框。例如將生命值鎖定為100實現(xiàn)“無敵”。找出是什么改寫了這個地址這是CE的“殺手锏”功能。右鍵地址選擇“Find out what writes to this address”。CE會設置一個內(nèi)存訪問斷點。然后你回到游戲做一次會讓該地址數(shù)值改變的操作比如被攻擊掉血。CE會立即暫停目標進程并顯示是哪一條匯編指令、在哪個模塊中修改了這個地址。這直接帶你找到了游戲邏輯中處理傷害計算的關鍵代碼位置找出是什么讀取了這個地址類似地可以定位讀取該地址的代碼常用于分析UI顯示邏輯。通過“找出訪問”功能你就從單純的數(shù)據(jù)修改邁入了動態(tài)分析和代碼逆向的大門。你可以查看、修改甚至注入新的匯編代碼實現(xiàn)更復雜的功能比如一擊必殺、技能無冷卻等。3. 高級功能實戰(zhàn)指針掃描與多級指針解析很多現(xiàn)代游戲和軟件會使用動態(tài)內(nèi)存分配導致關鍵數(shù)據(jù)的地址每次啟動游戲時都會變化。直接找到的地址我們稱為“靜態(tài)地址”下次運行就失效了。為了解決這個問題我們需要尋找“指針”。3.1 為什么需要指針程序在運行時操作系統(tǒng)為其分配的內(nèi)存基址Image Base和堆Heap地址是隨機的ASLR技術。但程序內(nèi)部的相對偏移關系通常是固定的。指針就是一個保存著目標地址的內(nèi)存地址。如果我們能找到指向生命值數(shù)據(jù)的指針而這個指針本身的地址是相對固定的比如相對于某個模塊基址的偏移那么我們就可以通過“模塊基址固定偏移”的方式在任何時候都準確定位到生命值。3.2 使用“指針掃描”功能CE內(nèi)置了強大的指針掃描工具。首先按照上一章的方法找到當前游戲會話中的生命值靜態(tài)地址。右鍵該地址選擇“Pointer scan for this address”。在彈出的對話框中保持默認設置通常即可點擊“OK”。CE會開始掃描整個內(nèi)存空間尋找所有可能指向該生命值地址的指針鏈。掃描完成后會生成一個龐大的指針列表。我們需要從中篩選出“穩(wěn)定”的指針。一個穩(wěn)定的指針通常具有以下特征“Pointer”列顯示為“模塊名偏移”的形式如game.exe1A3F4C而不是一個純數(shù)字地址。“Offset”列的最后一級偏移是一個較小的數(shù)字如0、4、8等。你可以通過重啟游戲進程基址會變?nèi)缓笥眠@個指針公式去驗證。如果重啟后依然能正確指向生命值那就是我們要找的“基址指針”。3.3 解讀多級指針鏈有時數(shù)據(jù)訪問路徑很長會形成多級指針。例如[[[game.exe 0x100000] 0x50] 0x20] 0x10 - 生命值這表示從game.exe模塊的基址開始加上0x100000偏移得到一個地址A。讀取地址A中存儲的值它是一個指針指向地址B。然后加上0x50偏移得到地址C。讀取地址C中存儲的值它是一個指針指向地址D。然后加上0x20偏移得到地址E。讀取地址E中存儲的值它是一個指針指向地址F。最后加上0x10偏移才得到最終的生命值地址。CE的指針掃描結果會以類似game.exe100000-50-20-10的形式展示。理解并驗證多級指針是應對復雜游戲內(nèi)存結構的關鍵。3.4 手動添加指針與偏移計算找到穩(wěn)定的指針鏈后你可以在CE地址列表手動添加。點擊地址列表下方的“Add Address Manually”按鈕。勾選“Pointer”復選框。在“Address”輸入框中填入指針鏈。例如對于上面的例子你需要點擊“Add Offset”多次形成多級第一級game.exe100000(作為地址)第二級偏移0x50第三級偏移0x20第四級偏移0x10點擊“OK”CE會自動計算并顯示出當前正確的生命值地址。重啟游戲驗證如果依然有效恭喜你你找到了一個“永久性”的修改入口。4. 匯編層面操作代碼查找、分析與注入當你能穩(wěn)定定位數(shù)據(jù)后就可以向更底層探索——修改程序的執(zhí)行邏輯。這需要一些基礎的匯編語言知識但CE讓這個過程變得直觀。4.1 使用“找出是什么改寫了/訪問了此地址”如前所述這個功能會設置硬件斷點。當游戲執(zhí)行到修改或讀取特定地址的指令時CPU會暫停并將控制權交還給CE的調(diào)試器。此時CE主界面下方會彈出“Disassembler”反匯編窗口黃色高亮顯示的就是那條關鍵的匯編指令。例如你可能看到mov [eax10], ecx這條指令將ecx寄存器的值存入以eax寄存器值為基址、偏移0x10的內(nèi)存地址中。如果[eax10]就是你的生命值地址那么ecx里存的就是將要寫入的新生命值。4.2 分析代碼上下文與編寫注入腳本在反匯編窗口中你可以查看這條指令前后的代碼理解這段邏輯的功能比如可能是ecx 當前生命值 - 傷害值。然后你可以選擇修改它。直接修改指令雙擊該指令可以直接改寫匯編代碼。比如想把傷害改成0可以找到計算傷害并減血的指令將其改為nop空操作或直接mov ecx, [當前生命值]保持原值。注意直接修改內(nèi)存中的代碼是臨時的游戲重啟后失效。且修改需謹慎錯誤的指令可能導致游戲崩潰。注入自定義匯編代碼AA腳本這是更強大和靈活的方式。右鍵指令選擇“Auto Assemble”自動匯編。CE會打開一個腳本編輯器并自動生成一段包含目標地址和原始代碼的模板。你可以在此編寫自己的匯編腳本。例如實現(xiàn)“傷害減半”[ENABLE] // 代碼將在激活時注入 alloc(newmem, 2048) // 在目標進程分配一小塊內(nèi)存用于存放我們的新代碼 label(returnhere) label(originalcode) label(exit) newmem: // 這是我們新代碼的起點 originalcode: // 這里放置原始指令的副本 // 假設原始指令是sub ecx, edx // ecx ecx - edx (edx是傷害值) sar edx, 1 // 將edx傷害值算術右移1位即除以2取整 sub ecx, edx // 使用減半后的傷害進行計算 exit: jmp returnhere // 跳回原程序繼續(xù)執(zhí)行 // 下面是注入邏輯將原指令跳轉(zhuǎn)到我們的新代碼 “目標地址”: jmp newmem nop // 可能需要nop來填充原指令占用的字節(jié) returnhere: [DISABLE] // 代碼禁用時的清理邏輯 “目標地址”: // 恢復原始指令 // sub ecx, edx dealloc(newmem) // 釋放分配的內(nèi)存編寫完腳本后點擊“Execute”即可注入。腳本會在CE中保持激活狀態(tài)實現(xiàn)動態(tài)修改游戲邏輯。點擊“Stop”則會恢復原狀。4.3 使用“代碼查找器”定位功能區(qū)域除了從數(shù)據(jù)找代碼CE還可以直接從代碼模式搜索。點擊菜單“Memory View” - “Code Finder”。你可以輸入一段匯編指令的模式支持通配符讓CE在內(nèi)存中搜索。這對于尋找已知的函數(shù)或代碼片段非常有用。5. 實戰(zhàn)避坑指南與疑難問題排查理論學得再多不如實戰(zhàn)踩坑。下面分享一些我在使用CE過程中積累的常見問題與解決技巧。5.1 掃描不到或結果過多/過少問題首次掃描后結果數(shù)為0或異常多幾百萬。排查確認數(shù)值類型這是最常見錯誤。如果你搜整數(shù)100但游戲?qū)嶋H用Float類型存儲100.0你就搜不到。嘗試更換4 Bytes,Float,Double等類型。對于模糊數(shù)值如血條沒有具體數(shù)字用Unknown initial value開局。確認掃描范圍某些游戲可能將數(shù)據(jù)放在特定的內(nèi)存區(qū)域如堆、棧嘗試更換掃描范圍。確認進程權限以管理員身份運行CE。游戲有保護一些在線游戲或帶有反作弊如EAC, BattlEye的單機游戲會檢測并阻止CE等調(diào)試器附加。切勿嘗試繞過在線游戲的反作弊系統(tǒng)這違反用戶協(xié)議且可能導致封號。對于單機游戲可以嘗試CE的“Stealth”隱身模式或使用“VEH Debugger”等選項但成功率不定。5.2 找到的地址重啟后失效問題本次游戲找到的地址下次啟動游戲就無效了。解決這是動態(tài)內(nèi)存分配的典型特征。你必須使用指針掃描功能來尋找基址指針。參考第3章。如果指針掃描也找不到穩(wěn)定的可能數(shù)據(jù)存儲在堆?；蚍浅討B(tài)的結構中分析難度極大。5.3 “找出是什么訪問了地址”沒有結果問題設置了查找訪問但游戲運行時CE沒有中斷。排查確認地址正確地址可能已經(jīng)失效或者你找的地址并非程序真正頻繁訪問的地址可能是個副本。訪問頻率該地址可能只在特定事件如初始化、保存時被訪問一次。確保你在執(zhí)行會觸發(fā)該訪問的操作。斷點類型確保你選擇的是正確的斷點類型寫入、讀取、執(zhí)行。對于數(shù)據(jù)通常是“寫入”或“讀取”。硬件斷點限制CPU的硬件調(diào)試寄存器數(shù)量有限通常4個。如果同時設置太多“查找訪問”可能會失敗。先清除其他斷點再試。5.4 修改數(shù)值后游戲崩潰或無效果問題修改了某個地址的值游戲立刻崩潰或修改無效。排查數(shù)據(jù)類型錯誤將浮點數(shù)當作整數(shù)修改可能得到一個極大或極小的異常值導致游戲邏輯錯誤崩潰。修改了只讀內(nèi)存有些數(shù)據(jù)是只讀的強行寫入會導致訪問違規(guī)。嘗試前先確認地址是否有寫入權限在內(nèi)存瀏覽器中查看。修改了錯誤地址你修改的可能只是一個顯示用的副本而非實際控制邏輯的變量。需要找到真正的主變量。游戲有校驗游戲可能在其他地方存有該數(shù)據(jù)的副本并定期進行校驗發(fā)現(xiàn)不一致就糾正或報錯。你需要找到校驗代碼并一并修改或者找到數(shù)據(jù)的源頭。5.5 使用表格與共享腳本CE社區(qū)非常活躍很多人會分享他們制作的.CT文件Cheat Table里面包含了針對特定游戲版本找好的地址、指針和腳本。使用下載.CT文件后在CE中點擊“File” - “Load”選擇該文件即可載入所有定義好的條目。這非常適合學習別人是如何分析一個游戲的。制作當你完成一個復雜的分析后可以將地址列表保存為.CT文件方便自己下次使用或分享。確保你保存的是指針而非靜態(tài)地址。風險從網(wǎng)絡下載的.CT文件可能包含惡意代碼通過Auto Assembler腳本。只從可信來源下載加載前最好用文本編輯器檢查一下腳本內(nèi)容。6. 從CE出發(fā)逆向工程學習路徑建議掌握了CE的基本和高級操作你已經(jīng)打開了軟件逆向工程的大門。如果你想繼續(xù)深入我建議按以下路徑學習鞏固基礎繼續(xù)用CE分析更多不同類型的單機程序和小游戲。嘗試修改不同類型的變量整數(shù)、浮點數(shù)、字符串、數(shù)組練習使用指針掃描和代碼注入。學習匯編語言這是逆向工程的基石。不需要成為專家但要能讀懂常見的指令mov, add, sub, cmp, jmp, call, ret等和理解棧、寄存器的基本概念。CE的反匯編窗口是你最好的練習場。使用專業(yè)調(diào)試器過渡到更專業(yè)的調(diào)試器如x64dbg或GDB。它們提供更強大的底層調(diào)試功能如符號加載、更靈活的斷點設置、插件系統(tǒng)等。學習靜態(tài)分析使用IDA Pro或Ghidra等靜態(tài)反匯編工具在沒有運行程序的情況下分析代碼邏輯、梳理函數(shù)調(diào)用關系、識別庫函數(shù)。靜態(tài)分析與動態(tài)調(diào)試CE/x64dbg結合才是完整的逆向。理解可執(zhí)行文件結構學習PEWindows或ELFLinux文件格式了解節(jié)區(qū)、導入表、導出表等概念明白操作系統(tǒng)是如何加載和運行一個程序的。記住技術的目的是理解和創(chuàng)造。Cheat Engine是一個絕佳的學習工具它用可視化的方式揭開了程序運行的神秘面紗。請始終將你的知識和技能用于合法的、符合道德的方向例如軟件調(diào)試、安全研究、理解計算機原理或是為自己喜歡的單機游戲創(chuàng)造一些有趣的模組。保持好奇心享受探索的樂趣你會發(fā)現(xiàn)底層軟件世界的魅力遠超想象。