【CE】图形化教程实战：从内存扫描到代码注入的逆向通关指南

1. 初识Cheat Engine：逆向工程的瑞士军刀

第一次打开Cheat Engine（简称CE）时，很多人会被它简陋的界面吓到——灰底黑字的窗口、密密麻麻的按钮，活像上个世纪的DOS程序。但就是这个看似古董的工具，却能让游戏里的金币无限增长、角色刀枪不入。我刚开始用CE修改《植物大战僵尸》阳光值时，发现它比金山游侠这类传统修改器强大得多，因为它不仅能改数值，还能分析程序运行机制。

CE最核心的功能是动态内存扫描。游戏运行时，所有数据（血量、金币、坐标等）都存放在内存中。比如角色当前血量100点，CE就能在内存海洋里找到这个"100"的存储位置。但内存地址每次启动都会变化，所以CE提供了指针扫描、代码注入等高级功能来应对这种情况。记得有次修改《饥荒》时，我花了半小时才找到用三级指针链接的饥饿值地址。

2. 第一关实战：精确数值扫描

2.1 目标分析

gtutorial第一关的提示说："每5次射击需要重新装填，之后目标会愈合"。显然直接修改射击次数是死胡同，因为第5次射击会触发重置机制。更聪明的做法是修改目标血量，让它在下一次攻击时直接归零。

2.2 扫描流程

1. 首次扫描：选择进程gtutorial-x86_64.exe，数值类型选"4字节"，扫描类型选"精确数值"，输入当前显示的目标血量（比如500），点击首次扫描
2. 变化筛选：攻击目标一次，血量变为480，在CE中输入新值480，点击"再次扫描"
3. 锁定目标：重复攻击→扫描的过程，直到结果列表剩下20个左右地址。这时候可以尝试修改这些地址的值，观察游戏内目标血条是否同步变化

// 典型的内存修改代码示例（非实际CE脚本） *(int*)(0x01631550) = 24; // 将目标血量强制设为24

2.3 技巧进阶

当扫描结果过多时，可以：

• 使用"未变动的数值"扫描过滤干扰项
• 对剩余地址按数值排序，优先修改接近当前血量的地址
• 开启"十六进制显示"查看内存原始数据

我后来发现目标每次受伤固定减少24点血，于是把血量锁定为24，这样下一次攻击刚好清零。如果直接改为0，游戏反而会判定为无效攻击。

3. 第二关突破：共享代码处理

3.1 问题特殊性

第二关的两个敌人共用同一段伤害计算代码——这就是典型的共享代码问题。如果你简单地把扣血指令nop掉，会发现自己的角色也无法对敌人造成伤害。

3.2 解决方案

1. 分别找到两个敌人的血量地址
2. 右键地址选择"找出是什么改写了这个地址"
3. 攻击敌人，CE会显示汇编指令窗口，记录下改写血量的代码地址
4. 关键步骤：比较两个敌人被攻击时的寄存器值（通常RAX/RBX会存储对象地址）

; 代码注入示例（x64汇编） cmp rax, 0x00000000116F8D00 ; 判断是否是敌人1 je clear_health cmp rax, 0x0000000011927580 ; 判断是否是敌人2 je clear_health jmp original_code ; 其他情况执行原逻辑 clear_health: mov edx, [rax+60] ; 获取当前血量 sub [rax+60], edx ; 血量归零 ret

3.3 注意事项

• 注入代码时要保留原栈平衡
• 注意寄存器使用约定（Windows x64调用约定用RCX/RDX/R8/R9传参）
• 测试时要快速攻击两个敌人，避免触发回血机制

4. 第三关解密：坐标修改与穿墙

4.1 坐标定位

这关需要让所有平台变绿，但敌人是一击必杀。我的方案是：

1. 移动角色时搜索"变动的数值"
2. 卡在墙角时搜索"未变动的数值"
3. 最终找到X坐标(0x01631550)和Y坐标(0x01631558)

4.2 飞行模式实现

1. 对Y坐标地址"找出是什么改写了这个地址"
2. 跳跃时会发现两条修改指令
3. 将这两条指令nop掉（替换为0x90）后，角色就会悬浮在空中

// 修改后的内存视图（IDA风格） gtutorial-x86_64.exe+3A1B0: 90 nop 90 nop 90 nop 90 nop 90 nop

4.3 地图探索技巧

通过反复测试，我记录了关键坐标点：

• 起始点：(0.12, 0.15)
• 最右侧平台：(0.97, 0.86)
• 门的位置：(1.20, 0.45)

直接修改坐标实现瞬移时要注意：

1. 先改Y坐标确保角色在空中
2. 再逐步调整X坐标
3. 每次移动后要留出平台变色时间

5. 逆向工程思维培养

5.1 常见内存类型识别

• 4字节整数：最常见的数据类型，扫描时选"4 bytes"
• 浮点数：坐标、比例等带小数点的值，选"Float"
• 双精度浮点：高精度计算用，选"Double"
• 字符串：UTF-8或ANSI编码，可用"字符串"扫描

5.2 调试技巧

• 内存断点：对关键地址设置写入断点
• 调用栈分析：右键代码窗口选择"查找调用该代码的位置"
• 结构体分析：通过偏移量推测对象属性布局

5.3 安全注意事项

• 修改在线游戏可能导致封号
• 部分游戏有反作弊检测（如CRC校验）
• 建议先在单机游戏练习

记得有次我修改《空洞骑士》时，游戏突然崩溃。后来发现是修改了只读内存区域，触发了内存保护异常。这种时候需要用"查找访问该地址的代码"来绕过检测。

6. 从修改到创造：自制游戏助手

掌握了CE的基本功后，可以尝试更高级的应用：

6.1 自动化脚本

用CE的Auto Assemble功能编写自动采集脚本：

[ENABLE] alloc(automove,1024) registersymbol(automove) automove: mov [player.x], target.x mov [player.y], target.y jmp automove [DISABLE] dealloc(automove)

6.2 数据可视化

通过内存读取+Lua脚本制作实时数据显示窗口：

1. 读取角色坐标、血量等数据
2. 用CE的Lua API绘制HUD界面
3. 添加热键控制功能

6.3 模组开发

分析游戏数据结构后，可以：

• 替换纹理资源
• 修改游戏逻辑
• 添加新功能菜单

我曾给《星露谷物语》做过钓鱼难度调整mod，就是通过CE找到钓鱼进度条的算法地址，把难度系数从0.8改成了0.5。