1. 多级指针到底是什么为什么游戏修改绕不开它大家好我是老张一个在游戏修改和逆向分析领域摸爬滚打了十多年的老玩家。今天咱们不聊那些虚的直接上硬货聊聊 Cheat Engine后面咱们就亲切地叫它 CE里那个让无数新手又爱又恨的玩意儿——多级指针。你可能已经会用 CE 搜索数值改改金币、血量感觉天下无敌了。但一碰到某些游戏比如 CE 自带教程里的第 8 关、第 9 关昨天还能用的地址今天一重启游戏就失效了改了个寂寞。这时候老鸟们就会微微一笑告诉你“小伙子你得找指针而且是多级指针。” 你是不是听得一头雾水别急咱们用最白的话把它讲明白。你可以把电脑的内存想象成一个超级大的、带编号的储物柜大楼。每个储物柜内存地址里放着游戏的数据比如你的血量“100”。你直接找到放“100”的那个柜子把它改成“999”这就是最基础的修改。但游戏开发者也不傻他们玩了个“套娃”游戏。他们不会把“100”这个值固定放在一个柜子里。而是先弄一个“总柜子”我们叫它“基地址”或“静态地址”这个总柜子里不放“100”它放的是另一个柜子的钥匙地址。你用这把钥匙打开第二个柜子发现里面放的还不是“100”是第三把钥匙。就这样你可能需要拿着钥匙开好几个柜子最后才能拿到真正的“100”。这一连串的“钥匙链”就是多级指针。为什么这么麻烦就是为了动态分配内存增加反修改的难度。每次游戏重启前面的“柜子”地址可能都会变但那个最初的“总柜子”基地址相对于游戏主程序的位置通常是固定的。所以只要我们找到了这条完整的“钥匙链”指针路径无论游戏重启多少次我们都能顺着链子最终找到那个存放真实数据的“柜子”。这就是破解动态地址的终极法门。在 CE 里对付多级指针主要有两大流派手动追踪法和指针扫描法。网上教程很多但大多只讲步骤不讲为什么更少有人把这两种方法的精髓和实战中的坑给你掰扯清楚。今天我就结合 CE 官方教程的第 8 关这个经典案例带你们深入实战看看这两种方法到底怎么用孰优孰劣让你以后遇到类似问题不再抓瞎。2. 稳扎稳打手动追踪多级指针的完整实战手动方法顾名思义就是咱们自己动手像侦探一样一层一层追踪地址的来龙去脉。这个方法步骤多有点繁琐但我可以拍着胸脯告诉你这是最可靠、最让你心里有底的方法。一旦你手动找出来了这个指针路径几乎就是“真理”很难出错。咱们就以 CE 教程第 8 关的“健康值”为例走一遍完整的流程。2.1 第一步找到那个“善变”的地址首先打开 CE 和 Tutorial-x86_64.exe进入第 8 关。看到那个会变的健康值了吧用 CE 的“首次扫描”找到它。这里有个小技巧因为地址是动态的你第一次扫描可能会找到好几个地址。你可以让健康值变化一下比如挨一下打然后用“再次扫描”变化后的值或者用“未变动的数值”等方式反复筛选直到在左侧地址列表里只剩下一个或极少数几个看起来最像的地址。右键点击这个地址“添加到地址列表”。这一步是基础目的是找到当前游戏运行时存储健康值的那个“终点柜子”的实时地址。记下这个地址比如我们假设它是066229D8每次运行都不同。2.2 第二步揪出是谁在改写它现在我们有了终点柜子066229D8但不知道钥匙从哪来。在地址列表里右键点击这个地址选择“找出是什么改写了这个地址”。然后回到游戏让健康值发生变化比如被攻击掉血。CE 会立刻捕获到一条汇编指令比如mov [rsi18], eax。重点来了这里需要理解这条指令的意思是“把 eax 寄存器里的值存放到以 rsi 寄存器的值为基础加上18十六进制偏移量之后所得到的内存地址里”。而我们健康值的地址066229D8恰恰就是[rsi18]。所以我们可以反推出rsi 18 066229D8。那么rsi寄存器当时的值就是066229D8 - 18 066229C0。这个066229C0极其重要它就是我们要追踪的上一级“柜子”的地址也就是存放着指向我们健康值地址的“钥匙”的地方。我们在笔记里记下关心的地址偏移量说明066229C018从汇编指令mov [rsi18],eax反推得出rsi的值即为此地址。2.3 第三步逆向追踪揭开套娃链条好了我们现在知道066229C0这个柜子里放着一把指向健康值的钥匙。那么066229C0这个柜子本身又是被谁指向的呢我们需要继续往上追。第N次查询在 CE 主界面的“十六进制”搜索框记得勾选“十六进制”输入我们关心的地址066229C0进行搜索。搜索结果可能会显示一条指令比如mov rsi, [rsi]。这条指令告诉我们当前rsi的值也就是我们的066229C0是从[rsi]这个内存地址里读出来的。也就是说存在另一个地址它的里面存放着066229C0这个值。但这条指令的源操作数是[rsi]看起来偏移量是0。我们记下查询关键字066229C0找到的指令mov rsi, [rsi]关心的新地址066229C0因为[rsi0]就是[rsi]偏移量0第N-1次查询现在我们用066229C0作为关键字继续搜索。这次可能会找到mov rsi, [rsi18]。太好了这说明066229C0这个地址是由某个地址加上18的偏移后存储的值。我们计算一下假设找到这条指令的地址是06621E98那么[rsi18]就等于066229C0。所以rsi的值就是066229C0 - 18 06621E80。这个06621E80就是新的“关心地址”。记下查询关键字066229C0找到的指令mov rsi, [rsi18]关心的新地址06621E80偏移量18第N-2次查询继续用06621E80搜索。可能找到mov rsi, [rsi10]。同理如果指令地址是00183120则rsi 06621E80 - 10 06621E70等等这里要仔细[rsi10]里存的是06621E80所以rsi 10 06621E80因此rsi 06621E80 - 10 06621E70。不过在我们追踪链条时我们关心的是存放钥匙的柜子地址。实际上当我们用06621E80搜索到mov rsi, [rsi10]时意味着在某个地址记为A加上10偏移的地方存着06621E80。而这条指令本身位于00183120它访问的[rsi10]中的rsi才是上一级的钥匙地址。我们需要的是这个rsi的值。通过计算或查看 CE 反汇编窗口的上下文我们可以确定这个rsi的值是00183110。记下查询关键字06621E80找到的指令mov rsi, [rsi10]关心的新地址00183110偏移量10第N-3次查询最后用00183110搜索。这次我们可能会看到一条指令其操作数直接指向了一个静态地址例如[Tutorial-x86_64.exe325B00]。这就到“根”上了这个地址是相对于游戏主模块的固定偏移不会随着游戏重启而改变它就是我们要找的基地址Base Address。记下查询关键字00183110找到的指令例如mov rsi, [Tutorial-x86_64.exe325B00]最终基地址Tutorial-x86_64.exe325B00偏移量0(因为它是直接加载的)我们把整个逆向追踪的过程整理成表格就一目了然了偏移次数查询关键字找到的指令/结果关心的新地址偏移量说明N066229C0mov rsi, [rsi]066229C00起始点来自第二步的反推N-1066229C0mov rsi, [rsi18]06621E8018追踪到上一级N-206621E80mov rsi, [rsi10]0018311010继续向上追踪N-300183110Tutorial-x86_64.exe325B00(基地址)0找到静态基地址追踪结束2.4 第四步组装你的万能钥匙追踪完毕我们就可以从基地址开始正向写出这条指针路径了。注意顺序是反的我们从最底层的动态地址追到了最顶层的静态基地址。所以组装的时候要从基地址开始一层层加上偏移往下走。最终的多级指针表达式就是[[[[Tutorial-x86_64.exe325B00]10]18]0]18怎么理解这个表达式从游戏模块固定位置325B00开始Tutorial-x86_64.exe325B00。读取这个地址里存放的值它是一个指针。在这个值的基础上加上10的偏移量然后访问这个新地址。上一步得到的结果还是一个指针再加上18的偏移量后访问。再上一步的结果加上0偏移就是直接访问得到下一个指针。最后加上18的偏移量访问到的就是存储健康值的最终地址。把这个表达式填入 CE 地址列表的“地址”栏勾选“指针”你就能得到一个绿色的静态地址。无论你重启游戏多少次它都能准确指向健康值。这就是手动方法的魅力——过程清晰结果确凿。3. 大力出奇迹指针扫描法的工作原理与实战说完了“手工耿”式的精细活咱们再来看看“大力出奇迹”的指针扫描法。这个方法的核心思想很简单让 CE 帮你进行海量的尝试找出所有可能指向目标地址的指针链。3.1 指针扫描法是怎么“扫”的当你对一个地址进行指针扫描时CE 会做一件非常“暴力”的事情它以当前内存状态为快照遍历程序内存中大量可能作为“基地址”的区域比如堆、栈的地址范围尝试将它们加上不同的偏移量比如从 -1000 到 1000甚至更大计算出一个地址看看这个地址里存放的值是不是等于你的目标地址。举个例子你的健康值地址现在是066229D8。CE 可能会尝试假设基地址是06500000偏移1229D8计算065000001229D8 066229D8。匹配成功这就记录为一条候选指针065000001229D8。假设基地址是06621000偏移19D8计算0662100019D8 066229D8。又成功一条。... 如此反复进行数百万甚至上千万次计算。最终它会生成一个包含成千上万条可能指针链的列表。这些指针链在当前这次游戏运行中都能正确指向你的目标地址。3.2 实战操作步骤与关键设置找到并记录地址和手动方法一样先找到健康值的动态地址添加到地址列表。启动指针扫描器在地址列表里右键该地址选择“对这个地址进行指针扫描”。会弹出一个设置框。关键设置详解最大偏移这是最重要的参数之一。它决定了 CE 在扫描时允许指针链中的每一级偏移最大是多少。如果你知道游戏数据结构的偏移通常不大比如几十到几百可以设小一点如 512、1024来减少扫描量。如果不确定为了保险可以设大点如 4096。但越大扫描时间越长结果越多。指针扫描深度指指针链的最大层级。比如设为 4CE 就会寻找像[[[baseoffset1]offset2]offset3]offset4这样的链。第8关的链是4级所以至少设为4。如果链更长就需要增加深度。只保存可读地址建议勾选。能过滤掉一些无效指针。使用堆数据指针通常勾选因为游戏对象常分配在堆上。开始扫描点击确定CE 会开始漫长的扫描。完成后会生成一个巨大的.ptr文件里面包含了所有候选指针。重启游戏并过滤这是指针扫描法的精髓所在。关闭游戏再重新打开重启 CE 并附加进程。健康值的地址肯定变了。这时在指针扫描器界面如果关了按你提供的附录方法再打开点击“重新扫描内存”——选择“地址现在等于...”然后输入健康值新的地址。层层过滤点击确定CE 会从之前那成千上万的指针链中筛选出那些在这次游戏运行中依然能正确指向新地址的链。你会发现数量锐减。你可以重复这个过程重启游戏改变数值再次过滤“地址现在等于...”或“地址值改变了...”直到只剩下寥寥几条甚至一条指针链。这条链很可能就是正确的多级指针。3.3 指针扫描法的优势与“坑”它的优势很明显自动化程度高不需要你理解汇编指令不用手动计算和追踪。可能发现意外路径有时手动追踪可能会因为指令优化等原因错过某条路径而指针扫描是穷举可能找到另一条等效但不同的指针链。但它的“坑”更多这也是为什么老手慎用的原因结果海量筛选困难动辄数万的结果看着就头疼。虽然过滤后减少但初始列表太大。高度依赖运气和参数如果你的“最大偏移”或“扫描深度”设置不对真正的指针链可能根本不在扫描结果里。或者即使在了也可能被淹没在大量假阳性结果中筛选时被误删。“有效”不等于“正确”过滤后剩下的那条链只是在这两次游戏运行中都有效。它可能是一条“巧合链”依赖于某次运行时特定的内存布局下次重启可能就失效了。而手动追踪找到的是程序逻辑确定的必然路径。效率问题扫描过程耗时尤其是范围设得大的时候。对于复杂的游戏可能扫半天都扫不完。我个人的经验是指针扫描法更适合在一种情况下使用当你面对一个极其复杂的程序手动追踪陷入僵局或者你完全没有任何逆向分析思路时可以把它当作一个“最后的手段”来碰碰运气。即使扫出来了你对它的可靠性也要打一个问号最好能在多次重启游戏后进行验证。4. 手动 vs 指针扫描一场关于控制与运气的对决好了两种方法我们都深入实操了一遍。是时候把它们放在一起好好对比一下了。这张表能让你一眼看清它们的本质区别对比维度手动追踪法指针扫描法核心原理逆向工程分析汇编指令理解数据流走向。暴力穷举内存快照匹配统计概率。学习成本较高。需要基本的汇编阅读能力和内存地址概念。较低。流程化操作几乎不需要底层知识。操作复杂度步骤繁琐。需多次搜索、记录、计算像解谜。操作简单。设置参数后点扫描然后过滤。耗时前期思考耗时操作本身快。一旦理解追踪很快。扫描过程极耗时间尤其是参数范围大时。结果数量唯一或极少。你找到的就是程序逻辑决定的路径。海量数千至数万。需要后续过滤。结果可靠性极高。基于程序执行逻辑重启游戏100%有效。较低。结果可能只是统计巧合需多次重启验证。可控性完全可控。每一步你都知道为什么心中有数。像开盲盒。参数设置和过滤都有运气成分。适用场景1. 学习、理解程序内存结构。2. 需要稳定、长期有效的修改。3. 指针链相对清晰、不太复杂的情况。1. 对逆向分析一无所知想快速尝试。2. 程序有反调试、混淆手动分析困难。3. 作为手动分析的补充验证。像什么老中医把脉通过望闻问切看汇编找到病根基地址。抽奖买一大堆彩票扫描希望其中一张能中奖有效指针。看到这里你应该明白为什么在 CE 教程第8关甚至更变态的第9关手动方法被强烈推荐了吧教程设计者就是想让你理解内存寻址的原理而不是依赖一个碰运气的工具。指针扫描法扫出的上万结果里可能只有一条是“真命天子”而你很难判断是哪一条除非你像手动法那样已经知道了答案去反向验证。5. 超越教程实战中的进阶技巧与避坑指南掌握了基本方法咱们再聊聊实战中会遇到的那些坑以及一些能提升效率的进阶技巧。这些可是教程里不常提的“干货”。技巧一理解“偏移为0”的情况在手动追踪时你经常会看到像mov rsi, [rsi]这样的指令它的偏移量是0。这并不意味着这一级没用。它很可能意味着程序通过一个“指针”间接访问了另一个“指针”。在数据结构中这很常见比如一个链表节点Node A的next指针指向另一个节点Node B访问Node B的数据就是[NodeA.next]。所以偏移0是链条中重要的一环不能省略。技巧二关注非rsi寄存器的指令我们的例子一直围绕rsi寄存器。但实际中可能是rax,rcx,rbx等任何寄存器。关键是理解指令格式mov [寄存器偏移], 源或mov 目标, [寄存器偏移]。我们的目标是找到“寄存器”的值。有时指令可能是lea rdx, [raxrbx*4]这种更复杂的寻址方式那就需要你有一点汇编知识来计算了。技巧三利用“找出访问该地址的代码”除了“找出是什么改写了这个地址”还可以用“找出是什么访问了该地址”。后者会列出所有读取该地址的指令。有时改写指令很难捕捉比如值很久才变一次但读取指令可能更频繁。从读取指令同样可以反推出上一级指针的地址多一条分析路径。技巧四指针扫描法的参数优化如果你决定用指针扫描法别用默认的最大偏移如1024。先用手动法或经验估算一下。比如如果你发现手动追踪时每一级的偏移都不超过0x100那么把最大偏移设为512可以极大减少扫描时间。深度也一样如果你估计指针链有5-6级就设成7留点余量但不要盲目设成20那会指数级增加计算量。最大的坑地址随机化ASLR现代操作系统和游戏普遍启用 ASLR。这意味着每次运行游戏模块如Tutorial-x86_64.exe加载的基地址都是随机的。所以你找到的指针Tutorial-x86_64.exe325B00中的325B00是相对偏移而Tutorial-x86_64.exe这个模块的起始地址每次都会变。幸运的是CE 的指针表达式自动处理了这一点它存储的是相对偏移。但如果你自己写外部修改器就需要调用系统API来获取模块的动态基址再加上这个相对偏移。避坑验证验证再验证无论用手动法还是扫描法找到指针后一定要重启游戏进行验证。最好能验证多次。手动法找到的指针理论上重启必然有效。扫描法找到的需要至少2-3次重启过滤后依然存活才能稍微增加一点可信度。最稳妥的办法是用扫描法找到一个候选链后尝试用手动法的思路去理解和验证这条链看看在汇编层面是否说得通。说到底手动追踪法锻炼的是你真正的“内力”——对程序运行机制的理解。而指针扫描法更像一件方便但不太听话的“外功”。内力深厚了外功用起来才得心应手。下次当你再遇到“一闪而过”的动态地址时希望你能沉着地打开反汇编器一步一步追下去。那种顺着线索最终挖到基地址的成就感是任何一键扫描都无法比拟的。