1. 项目概述从游戏玩家到技术探索者几年前我还是个沉迷于Dota的普通玩家经常在团战中因为无法精确掌握敌方关键单位的血量而错失良机或者因为误判己方肉盾的承伤能力而做出错误决策。那时候我就在想如果能有一个工具能像游戏内置的“显示伤害数值”一样但更精确、更实时地看到战场上所有单位的生命值那该多好。这个想法一直埋在心里直到我开始深入学习C和Windows系统编程才意识到这并非天方夜谭而是一个绝佳的技术实践项目。“C游戏辅助开发实战读取Dota单位血量”这个标题听起来很硬核甚至带点灰色地带的意味。但我想强调的是我们探讨的核心是技术原理本身——即一个运行在用户空间的程序如何定位、读取另一个进程游戏内存中特定数据的技术过程。这涉及到逆向工程、内存寻址、Windows API编程等一系列底层知识是理解现代软件尤其是客户端软件内部工作机制的绝佳窗口。对于学习C系统编程、理解操作系统内存管理、乃至从事安全分析、性能优化等领域都有极高的学习价值。当然所有技术都应被用于正当的学习和研究目的尊重游戏规则和开发者劳动成果是前提。本篇文章我将以一个技术探索者的视角完整复盘如何从零开始构建一个能够读取Dota 2基于Source引擎中单位血量信息的控制台程序。我会详细拆解每一步背后的原理、用到的工具、遇到的坑以及解决方案。无论你是对游戏机制好奇的玩家还是希望深入Windows编程和逆向工程的开发者相信都能从中获得启发。2. 核心思路与原理拆解内存寻址的“寻宝游戏”在开始写代码之前我们必须搞清楚一个核心问题一个外部程序如何知道游戏把“血量”这个数据放在电脑内存的哪个角落这个过程就像在一个巨大的、不断变化的迷宫里寻找一个特定的房间我们需要的是一张“地图”和一套“寻路算法”。2.1 理解游戏内存模型现代游戏如Dota 2是一个复杂的软件系统。当它运行时操作系统会为它分配一块连续的虚拟内存空间。游戏中的所有数据——玩家的坐标、技能冷却时间、单位的生命值、魔法值等等——都存储在这块内存的不同地址上。这些地址在每次游戏启动时都可能不同因为操作系统动态分配内存。但是数据在内存中的“相对位置”关系在同一个游戏版本下通常是固定的。关键概念基地址与偏移量我们无法直接得到一个绝对固定的内存地址来读取血量。相反我们需要找到一个相对稳定的“锚点”通常是一个模块如游戏主程序dota2.exe或某个重要的DLL的基地址。从这个基地址出发通过一系列指针偏移Offsets像走迷宫一样一层一层地最终找到存储血量的那个具体地址。这个链条可能很长例如模块基地址 - 偏移A - 指针1 - 偏移B - 指针2 - 偏移C - 血量值。2.2 技术路线选择要实现读取我们有两种主流技术路径内部DLL注入Internal DLL Injection将我们自己编写的DLL文件注入到游戏进程内部这样我们的代码就和游戏代码运行在同一个内存空间可以直接访问游戏的数据结构。这种方式功能强大、效率高但技术复杂且极易被反作弊系统如Dota 2的VAC检测并封禁。出于安全和合规考虑我们绝对不采用这种方法。外部进程内存读取External Memory Reading我们的程序作为一个独立的进程运行通过Windows系统提供的API以“外部观察者”的身份去打开游戏进程、获取其内存访问权限然后进行读取。这种方式更安全完全在用户权限内操作只要不进行写入或干扰游戏运行风险极低。这是我们本次实战采用的方法。我们的技术栈很明确使用C调用Windows API实现外部内存读取。核心API包括OpenProcess,ReadProcessMemory, 以及辅助的EnumProcesses,GetModuleBaseName等。2.3 工具准备我们的“雷达”和“解码器”工欲善其事必先利其器。在逆向分析中我们主要依赖以下工具Cheat Engine (CE)这是内存扫描领域的“瑞士军刀”。我们将用它来定位血量数据在内存中的地址并分析其指针路径。它通过不断扫描内存变化比如单位受到伤害血量减少来锁定目标地址。ReClass.NET这是一个强大的内存结构分析工具。当我们通过CE找到可能是“单位对象”的地址后可以用ReClass来解析该地址周围的内存将其可视化为一个C类的结构体帮助我们理解游戏内部的数据结构布局。Visual Studio 2022我们的开发环境。确保安装“使用C的桌面开发”工作负载。Process Hacker 或 System Informer用于查看进程的详细信息、加载的模块等辅助验证。重要提示整个实验过程请在单机模式、自定义房间或与机器人对战中完成切勿在多人匹配环境中使用任何扫描或读取工具以免产生不必要的风险。我们的目的纯粹是技术学习。3. 逆向分析实战定位血量数据的“迷宫地图”这是整个项目中最具挑战性和趣味性的部分。我们以Dota 2为例但思路适用于许多基于类似引擎的游戏。3.1 第一步扫描与定位初始地址启动游戏开启一局自定义游戏选择一个有血量的单位比如一个英雄。启动Cheat Engine并附加进程打开CE点击左上角的电脑图标在进程列表中找到dota2.exe并打开。首次扫描在CE的数值框中输入你当前英雄的精确血量值整数。扫描类型选择“精确数值”数值类型选择“4字节”因为血量通常用32位整数或浮点数存储我们先试4字节整数。点击“首次扫描”。改变血量并再次扫描让英雄受到一些伤害比如被塔打一下血量发生变化。在CE中输入新的血量值点击“再次扫描”。筛选地址重复步骤4多次直到左侧的地址列表减少到可控的数量比如几十个。列表中出现的地址可能就是存储你英雄血量的地方。验证地址将某个可疑地址添加到下方的地址列表。然后通过治疗或再次受伤改变血量观察CE中该地址的值是否实时、准确地跟随变化。找到一个“确定”的地址。这个地址我们称之为动态地址因为它每次游戏启动都会变。3.2 第二步寻找基地址与偏移链指针扫描找到动态地址只是开始我们需要找到通往它的稳定路径。找出是什么改写了这个地址在CE中右键点击我们找到的动态地址选择“找出是什么改写了这个地址”。然后回到游戏让单位受到一次伤害。CE会暂停游戏并显示一条汇编指令例如mov [rax18], edx。这里的rax通常是一个寄存器里面存放着一个基地址18就是一个偏移量。记下这个偏移量1例如 0x18。找出访问该地址的代码同样右键选择“找出是什么访问了这个地址”。进行一些游戏操作如选中单位CE会列出许多指令。我们需要找一条mov reg, [xxx]形式的指令其中xxx很可能就是指向包含血量结构体的指针地址。分析这些指令找到那个“源头”指针的地址。使用指针扫描这是CE最强大的功能之一。在动态地址上右键选择“指针扫描”。CE会分析内存找出所有可能指向这个动态地址的指针路径。扫描完成后会生成一个巨大的指针映射文件。筛选稳定的指针在指针扫描结果窗口中我们需要寻找这样的指针路径它的基地址是dota2.exe或client.dll这样的模块名后面跟着一串偏移量。例如“client.dll”0xABCDEF - 0x10 - 0x20。这表示从client.dll模块的基地址加上偏移0xABCDEF得到地址A读取地址A的值这是一个指针用这个指针加上0x10得到地址B读取地址B的值又是一个指针最后用这个指针加上0x20才指向我们的血量值。验证指针链关闭游戏再重新启动进入同一局游戏。在CE中打开之前保存的指针扫描文件使用“重新扫描内存”功能。如果某条指针链在游戏重启后依然能正确解析并指向当前的血量值那么恭喜你你找到了一个稳定的指针路径基地址多级偏移。实操心得这个过程需要极大的耐心。Dota 2等大型游戏的对象结构非常复杂血量可能嵌套在“单位实体”对象内而该对象又存在于一个“实体列表”中。指针链可能有3级、4级甚至更多。稳定的基地址通常是游戏的主模块。多尝试几次“找出访问/改写”功能结合对汇编指令的简单理解比如lea是取地址mov是移动数据能更快定位关键指针。4. C程序实现构建我们的“内存读取器”经过逆向分析我们假设已经得到了一条可用的指针路径以下为示例实际偏移需自行分析客户端模块基地址client.dll 0x6A9EC0 - 0x10 - 0x20 - 0x18 血量偏移现在我们用C来实现这个读取逻辑。4.1 项目设置与基本函数首先在Visual Studio中创建一个新的“控制台应用”项目。我们需要包含Windows头文件并链接相关库#include iostream #include Windows.h #include TlHelp32.h // 用于进程和模块枚举 #include vector #include string // 定义我们找到的偏移量示例值实际需替换 #define CLIENT_DLL_OFFSET 0x6A9EC0 #define OFFSET_1 0x10 #define OFFSET_2 0x20 #define HEALTH_OFFSET 0x18编写几个辅助函数获取进程ID通过进程名找到dota2.exe的进程IDPID。DWORD GetProcessId(const wchar_t* processName) { DWORD processId 0; HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (snapshot ! INVALID_HANDLE_VALUE) { PROCESSENTRY32W processEntry; processEntry.dwSize sizeof(PROCESSENTRY32W); if (Process32FirstW(snapshot, processEntry)) { do { if (_wcsicmp(processEntry.szExeFile, processName) 0) { processId processEntry.th32ProcessID; break; } } while (Process32NextW(snapshot, processEntry)); } CloseHandle(snapshot); } return processId; }获取模块基地址在目标进程内根据模块名如client.dll获取其加载的基地址。uintptr_t GetModuleBaseAddress(DWORD pid, const wchar_t* moduleName) { uintptr_t baseAddr 0; HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, pid); if (snapshot ! INVALID_HANDLE_VALUE) { MODULEENTRY32W moduleEntry; moduleEntry.dwSize sizeof(MODULEENTRY32W); if (Module32FirstW(snapshot, moduleEntry)) { do { if (_wcsicmp(moduleEntry.szModule, moduleName) 0) { baseAddr (uintptr_t)moduleEntry.modBaseAddr; break; } } while (Module32NextW(snapshot, moduleEntry)); } CloseHandle(snapshot); } return baseAddr; }读取进程内存核心函数用于从目标进程的指定地址读取指定大小的数据。templatetypename T T ReadMemory(HANDLE hProcess, uintptr_t addr) { T value; ReadProcessMemory(hProcess, (LPCVOID)addr, value, sizeof(T), nullptr); return value; } // 专门用于读取指针地址的重载版本因为指针宽度可能不同x86为4字节x64为8字节 uintptr_t ReadMemoryPtr(HANDLE hProcess, uintptr_t addr) { #ifdef _WIN64 return ReadMemoryuintptr_t(hProcess, addr); #else return ReadMemoryDWORD(hProcess, addr); #endif }4.2 实现多级指针寻址逻辑这是整个读取器的核心算法它模拟了指针链的遍历过程。uintptr_t FindDynamicAddress(HANDLE hProcess, uintptr_t baseAddr, const std::vectoruintptr_t offsets) { uintptr_t addr baseAddr; for (size_t i 0; i offsets.size(); i) { // 读取当前地址的值它是一个指针 addr ReadMemoryPtr(hProcess, addr); if (addr 0) { std::cerr [错误] 读取指针失败偏移链在层级 i 中断。 std::endl; return 0; } // 加上当前层级的偏移量 addr offsets[i]; } // 循环结束后addr指向最终值的地址但最后一次偏移后不需要再解引用。 // 实际上我们的offsets向量应该设计为前N-1个是解引用前的偏移最后一个是最终值的偏移。 // 更清晰的写法是分开处理 return addr; } // 更清晰版本的实现 uintptr_t ResolvePointerChain(HANDLE hProcess, uintptr_t baseAddr, const std::vectoruintptr_t offsets) { uintptr_t currentAddr baseAddr; // 遍历除了最后一个偏移之外的所有偏移 for (size_t i 0; i offsets.size() - 1; i) { currentAddr ReadMemoryPtr(hProcess, currentAddr offsets[i]); if (!currentAddr) return 0; // 读取失败 } // 加上最后一个偏移得到最终数据的地址 return currentAddr offsets.back(); }4.3 主函数与完整流程将上述所有部分组合起来int main() { // 1. 查找Dota2进程 const wchar_t* processName Ldota2.exe; const wchar_t* moduleName Lclient.dll; DWORD pid GetProcessId(processName); if (pid 0) { std::cout 未找到进程: processName std::endl; system(pause); return 1; } std::cout 找到进程 PID: pid std::endl; // 2. 打开进程获取句柄需要PROCESS_VM_READ权限 HANDLE hProcess OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, pid); if (!hProcess || hProcess INVALID_HANDLE_VALUE) { std::cout 无法打开进程。错误代码: GetLastError() std::endl; system(pause); return 1; } // 3. 获取client.dll的基地址 uintptr_t clientDllBase GetModuleBaseAddress(pid, moduleName); if (clientDllBase 0) { std::cout 未找到模块: moduleName std::endl; CloseHandle(hProcess); system(pause); return 1; } std::cout moduleName 基地址: 0x std::hex clientDllBase std::dec std::endl; // 4. 定义我们的指针偏移链 // 示例client.dll基地址 0x6A9EC0 - 0x10 - 0x20 - 0x18 (血量) // 注意第一个偏移是相对于模块基址的静态偏移后续偏移是每次解引用后相加的偏移。 uintptr_t staticOffset CLIENT_DLL_OFFSET; std::vectoruintptr_t pointerOffsets { OFFSET_1, OFFSET_2, HEALTH_OFFSET }; // 5. 计算动态地址 uintptr_t dynamicAddr ResolvePointerChain(hProcess, clientDllBase staticOffset, pointerOffsets); if (dynamicAddr 0) { std::cout 解析指针链失败可能偏移已过期或游戏状态未初始化。 std::endl; CloseHandle(hProcess); system(pause); return 1; } std::cout 计算出的动态地址: 0x std::hex dynamicAddr std::dec std::endl; // 6. 循环读取血量值假设是4字节整数 std::cout \n开始读取血量按CtrlC退出...\n std::endl; while (true) { int healthValue ReadMemoryint(hProcess, dynamicAddr); std::cout 单位血量: healthValue \r; // \r 实现原地刷新 std::cout.flush(); Sleep(100); // 每100毫秒读取一次避免过高CPU占用 } // 清理实际上上面的循环不会退出这里只是示范 CloseHandle(hProcess); return 0; }注意事项上述代码中的偏移量CLIENT_DLL_OFFSET,OFFSET_1等均为示例绝对不可直接使用。你必须通过Cheat Engine针对你当前使用的Dota 2版本进行实际分析得到正确的偏移量。游戏每次更新都可能导致偏移量变化。5. 进阶挑战与优化方向一个基础的读取器已经完成但它在鲁棒性和实用性上还很初级。下面探讨几个进阶方向5.1 处理多级对象与实体列表我们刚才读取的可能是本地玩家控制的英雄的血量。如何读取屏幕上所有可见单位包括小兵、野怪、敌方英雄的血量这需要找到游戏的“实体列表”Entity List。定位实体列表通常会有一个全局指针指向一个“客户端状态”或“实体系统”对象其中包含一个实体数组或链表的头指针。你可以通过Cheat Engine搜索“单位数量”或分析访问了多个单位公共属性的代码来定位这个列表。遍历实体获取到列表基址后你需要知道每个实体的“步长”对象大小然后通过循环遍历。每个实体都有一个唯一的索引或ID并且有一个“类指针”指向描述其类型英雄、小兵等的信息。筛选有效单位在遍历时需要检查实体是否有效指针非空、是否存活、是否是您关心的类型比如需要区分英雄和特效单位。这通常通过读取实体内部的“标志位”或“生命周期状态”字段来实现。读取单位信息对于每个有效的单位实体按照之前分析出的偏移链可能和本地英雄的链类似但基于实体基址去读取其血量、魔法、坐标等信息。5.2 应对游戏更新与偏移失效这是外部辅助工具最大的维护成本。游戏一更新偏移量就可能全变。特征码扫描Pattern Scanning不直接使用硬编码的偏移量而是在游戏模块的内存中搜索一段独特的字节序列特征码这段序列在我们需要的指令或数据附近。通过计算特征码位置与目标地址的相对偏移可以在游戏更新后自动定位地址。例如寻找访问血量函数的特定汇编指令序列。指针映射文件与自动更新将复杂的多级指针链保存为配置文件。可以编写一个更新器在游戏更新后引导用户快速进行简单的指针重新扫描通常只需要重新定位最顶层的模块偏移然后自动计算并更新配置文件。使用符号信息如果可用一些游戏在开发版本中会包含调试符号但正式版通常会被剥离。对于像Dota 2这样使用Source引擎的游戏其某些服务器版本或通过特定方式可能能获取到部分符号但这属于高级逆向范畴。5.3 提升程序稳定性和可读性错误处理上述示例代码错误处理很简陋。在生产代码中每次ReadProcessMemory调用后都应检查返回值OpenProcess失败应尝试提升权限或给出明确提示。性能优化频繁调用ReadProcessMemory是有开销的。对于需要读取大量数据如遍历所有单位的情况可以考虑一次性读取一块连续内存如整个实体列表结构然后在本地解析但这需要精确知道数据结构布局。结构化数据定义与游戏内数据结构对应的C结构体或类使代码更清晰。例如定义一个CBaseEntity结构体包含血量、魔法、坐标等成员变量及其偏移量。读取时直接将内存内容复制到该结构体实例中。多线程将内存读取、数据处理、UI渲染放在不同线程避免阻塞。6. 常见问题与调试技巧实录在开发过程中你几乎一定会遇到下面这些问题Q1:ReadProcessMemory失败返回错误代码 299 (ERROR_PARTIAL_COPY)。A1:这是最常见的问题之一。它表示只成功读取了部分请求的数据。原因可能是 * 目标地址无效或未提交NULL指针或已被释放。 * 在读取过程中目标进程的对应内存页面被换出或权限更改。 *最常见原因你的指针链中某一级已经失效读到了一个错误的地址导致后续地址非法。 *排查方法逐级打印和验证指针链。在ResolvePointerChain函数中每计算一步就输出当前地址并用CE手动验证这个地址是否有效在CE中查看该地址是否有合法数据。确保你的偏移量是针对当前游戏版本的。Q2: 程序能运行但读出来的血量值一直是0、负数或一个巨大的随机数。A2:这通常是数据类型或偏移量错误。 *数据类型血量不一定是int也可能是float单精度浮点数或double。在CE中查看时注意数值类型。尝试用ReadMemoryfloat读取。 *偏移量错误最后一级偏移可能不对。血量可能不在你找到的指针链的末尾而是那个地址指向的结构体里的一个字段。用ReClass.NET分析最终指向的地址周围的内存确定血量的准确偏移。 *字节序x86/x64架构是小端序通常没问题。但如果与网络数据交互需注意。Q3: 游戏更新后我的程序完全不能用了。A3:偏移量失效了。你需要用CE重新进行指针扫描。如果之前保存了指针扫描结果.ptr文件可以在CE中加载然后“重新扫描内存”看看有没有幸存下来的指针路径。更稳健的方法是转向特征码扫描。Q4: 如何避免被游戏的反作弊系统检测A4:这是一个猫鼠游戏。对于纯粹的外部读取只使用ReadProcessMemory风险相对较低但并非为零。以下是一些基本原则 *绝对不要写入游戏内存任何WriteProcessMemory调用或修改游戏代码的行为风险极高。 *降低读取频率不要以每秒上百次的频率轮询。像我们示例中Sleep(100)是合理的。 *避免可疑的API Hook不要尝试注入DLL或Hook游戏函数。 *不要在联机对战中使用这是最重要的。仅在单机、本地服务器或与机器人游戏时进行技术研究。 *注意程序名和窗口名避免使用过于明显的名称。Q5: 除了血量我还能读什么A5:理论上游戏内存中所有数据都可以读取只要你能找到地址。常见的还有魔法值、坐标X, Y, Z、技能等级和冷却时间、装备信息、玩家金币和木材RTS游戏、游戏状态是否正在游戏中等。思路都是一样的用CE扫描变化的值分析指针链。坐标通常是float类型冷却时间可能是float剩余秒数或int游戏刻。调试技巧分而治之将长的指针链拆分成几段分别验证。先验证模块基址静态偏移读出来的是不是一个有效的指针在CE里看是否指向一个看起来像结构体的内存区域。善用CE的“手动添加地址”和“指针”功能在CE地址列表下方手动添加地址时可以勾选“指针”并输入你的基地址和偏移链CE会帮你实时计算并显示值。这是验证指针链是否正确的最快方法。关注“未改变”的值有时候你要找的数据在游戏初始化后就一直不变比如最大血量。扫描时可以选择“未改变的数值”来过滤掉变化频繁的干扰项。理解游戏框架了解Source引擎或其它引擎的基本架构比如“Entity”、“CBaseEntity”、“NetVar”等概念能极大提升逆向效率。网络变量NetVar是服务器同步给客户端的数据其偏移量可以通过引擎的接口或特定模式计算比盲目扫描更高效。
1. 项目概述从游戏玩家到技术探索者几年前我还是个沉迷于Dota的普通玩家经常在团战中因为无法精确掌握敌方关键单位的血量而错失良机或者因为误判己方肉盾的承伤能力而做出错误决策。那时候我就在想如果能有一个工具能像游戏内置的“显示伤害数值”一样但更精确、更实时地看到战场上所有单位的生命值那该多好。这个想法一直埋在心里直到我开始深入学习C和Windows系统编程才意识到这并非天方夜谭而是一个绝佳的技术实践项目。“C游戏辅助开发实战读取Dota单位血量”这个标题听起来很硬核甚至带点灰色地带的意味。但我想强调的是我们探讨的核心是技术原理本身——即一个运行在用户空间的程序如何定位、读取另一个进程游戏内存中特定数据的技术过程。这涉及到逆向工程、内存寻址、Windows API编程等一系列底层知识是理解现代软件尤其是客户端软件内部工作机制的绝佳窗口。对于学习C系统编程、理解操作系统内存管理、乃至从事安全分析、性能优化等领域都有极高的学习价值。当然所有技术都应被用于正当的学习和研究目的尊重游戏规则和开发者劳动成果是前提。本篇文章我将以一个技术探索者的视角完整复盘如何从零开始构建一个能够读取Dota 2基于Source引擎中单位血量信息的控制台程序。我会详细拆解每一步背后的原理、用到的工具、遇到的坑以及解决方案。无论你是对游戏机制好奇的玩家还是希望深入Windows编程和逆向工程的开发者相信都能从中获得启发。2. 核心思路与原理拆解内存寻址的“寻宝游戏”在开始写代码之前我们必须搞清楚一个核心问题一个外部程序如何知道游戏把“血量”这个数据放在电脑内存的哪个角落这个过程就像在一个巨大的、不断变化的迷宫里寻找一个特定的房间我们需要的是一张“地图”和一套“寻路算法”。2.1 理解游戏内存模型现代游戏如Dota 2是一个复杂的软件系统。当它运行时操作系统会为它分配一块连续的虚拟内存空间。游戏中的所有数据——玩家的坐标、技能冷却时间、单位的生命值、魔法值等等——都存储在这块内存的不同地址上。这些地址在每次游戏启动时都可能不同因为操作系统动态分配内存。但是数据在内存中的“相对位置”关系在同一个游戏版本下通常是固定的。关键概念基地址与偏移量我们无法直接得到一个绝对固定的内存地址来读取血量。相反我们需要找到一个相对稳定的“锚点”通常是一个模块如游戏主程序dota2.exe或某个重要的DLL的基地址。从这个基地址出发通过一系列指针偏移Offsets像走迷宫一样一层一层地最终找到存储血量的那个具体地址。这个链条可能很长例如模块基地址 - 偏移A - 指针1 - 偏移B - 指针2 - 偏移C - 血量值。2.2 技术路线选择要实现读取我们有两种主流技术路径内部DLL注入Internal DLL Injection将我们自己编写的DLL文件注入到游戏进程内部这样我们的代码就和游戏代码运行在同一个内存空间可以直接访问游戏的数据结构。这种方式功能强大、效率高但技术复杂且极易被反作弊系统如Dota 2的VAC检测并封禁。出于安全和合规考虑我们绝对不采用这种方法。外部进程内存读取External Memory Reading我们的程序作为一个独立的进程运行通过Windows系统提供的API以“外部观察者”的身份去打开游戏进程、获取其内存访问权限然后进行读取。这种方式更安全完全在用户权限内操作只要不进行写入或干扰游戏运行风险极低。这是我们本次实战采用的方法。我们的技术栈很明确使用C调用Windows API实现外部内存读取。核心API包括OpenProcess,ReadProcessMemory, 以及辅助的EnumProcesses,GetModuleBaseName等。2.3 工具准备我们的“雷达”和“解码器”工欲善其事必先利其器。在逆向分析中我们主要依赖以下工具Cheat Engine (CE)这是内存扫描领域的“瑞士军刀”。我们将用它来定位血量数据在内存中的地址并分析其指针路径。它通过不断扫描内存变化比如单位受到伤害血量减少来锁定目标地址。ReClass.NET这是一个强大的内存结构分析工具。当我们通过CE找到可能是“单位对象”的地址后可以用ReClass来解析该地址周围的内存将其可视化为一个C类的结构体帮助我们理解游戏内部的数据结构布局。Visual Studio 2022我们的开发环境。确保安装“使用C的桌面开发”工作负载。Process Hacker 或 System Informer用于查看进程的详细信息、加载的模块等辅助验证。重要提示整个实验过程请在单机模式、自定义房间或与机器人对战中完成切勿在多人匹配环境中使用任何扫描或读取工具以免产生不必要的风险。我们的目的纯粹是技术学习。3. 逆向分析实战定位血量数据的“迷宫地图”这是整个项目中最具挑战性和趣味性的部分。我们以Dota 2为例但思路适用于许多基于类似引擎的游戏。3.1 第一步扫描与定位初始地址启动游戏开启一局自定义游戏选择一个有血量的单位比如一个英雄。启动Cheat Engine并附加进程打开CE点击左上角的电脑图标在进程列表中找到dota2.exe并打开。首次扫描在CE的数值框中输入你当前英雄的精确血量值整数。扫描类型选择“精确数值”数值类型选择“4字节”因为血量通常用32位整数或浮点数存储我们先试4字节整数。点击“首次扫描”。改变血量并再次扫描让英雄受到一些伤害比如被塔打一下血量发生变化。在CE中输入新的血量值点击“再次扫描”。筛选地址重复步骤4多次直到左侧的地址列表减少到可控的数量比如几十个。列表中出现的地址可能就是存储你英雄血量的地方。验证地址将某个可疑地址添加到下方的地址列表。然后通过治疗或再次受伤改变血量观察CE中该地址的值是否实时、准确地跟随变化。找到一个“确定”的地址。这个地址我们称之为动态地址因为它每次游戏启动都会变。3.2 第二步寻找基地址与偏移链指针扫描找到动态地址只是开始我们需要找到通往它的稳定路径。找出是什么改写了这个地址在CE中右键点击我们找到的动态地址选择“找出是什么改写了这个地址”。然后回到游戏让单位受到一次伤害。CE会暂停游戏并显示一条汇编指令例如mov [rax18], edx。这里的rax通常是一个寄存器里面存放着一个基地址18就是一个偏移量。记下这个偏移量1例如 0x18。找出访问该地址的代码同样右键选择“找出是什么访问了这个地址”。进行一些游戏操作如选中单位CE会列出许多指令。我们需要找一条mov reg, [xxx]形式的指令其中xxx很可能就是指向包含血量结构体的指针地址。分析这些指令找到那个“源头”指针的地址。使用指针扫描这是CE最强大的功能之一。在动态地址上右键选择“指针扫描”。CE会分析内存找出所有可能指向这个动态地址的指针路径。扫描完成后会生成一个巨大的指针映射文件。筛选稳定的指针在指针扫描结果窗口中我们需要寻找这样的指针路径它的基地址是dota2.exe或client.dll这样的模块名后面跟着一串偏移量。例如“client.dll”0xABCDEF - 0x10 - 0x20。这表示从client.dll模块的基地址加上偏移0xABCDEF得到地址A读取地址A的值这是一个指针用这个指针加上0x10得到地址B读取地址B的值又是一个指针最后用这个指针加上0x20才指向我们的血量值。验证指针链关闭游戏再重新启动进入同一局游戏。在CE中打开之前保存的指针扫描文件使用“重新扫描内存”功能。如果某条指针链在游戏重启后依然能正确解析并指向当前的血量值那么恭喜你你找到了一个稳定的指针路径基地址多级偏移。实操心得这个过程需要极大的耐心。Dota 2等大型游戏的对象结构非常复杂血量可能嵌套在“单位实体”对象内而该对象又存在于一个“实体列表”中。指针链可能有3级、4级甚至更多。稳定的基地址通常是游戏的主模块。多尝试几次“找出访问/改写”功能结合对汇编指令的简单理解比如lea是取地址mov是移动数据能更快定位关键指针。4. C程序实现构建我们的“内存读取器”经过逆向分析我们假设已经得到了一条可用的指针路径以下为示例实际偏移需自行分析客户端模块基地址client.dll 0x6A9EC0 - 0x10 - 0x20 - 0x18 血量偏移现在我们用C来实现这个读取逻辑。4.1 项目设置与基本函数首先在Visual Studio中创建一个新的“控制台应用”项目。我们需要包含Windows头文件并链接相关库#include iostream #include Windows.h #include TlHelp32.h // 用于进程和模块枚举 #include vector #include string // 定义我们找到的偏移量示例值实际需替换 #define CLIENT_DLL_OFFSET 0x6A9EC0 #define OFFSET_1 0x10 #define OFFSET_2 0x20 #define HEALTH_OFFSET 0x18编写几个辅助函数获取进程ID通过进程名找到dota2.exe的进程IDPID。DWORD GetProcessId(const wchar_t* processName) { DWORD processId 0; HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (snapshot ! INVALID_HANDLE_VALUE) { PROCESSENTRY32W processEntry; processEntry.dwSize sizeof(PROCESSENTRY32W); if (Process32FirstW(snapshot, processEntry)) { do { if (_wcsicmp(processEntry.szExeFile, processName) 0) { processId processEntry.th32ProcessID; break; } } while (Process32NextW(snapshot, processEntry)); } CloseHandle(snapshot); } return processId; }获取模块基地址在目标进程内根据模块名如client.dll获取其加载的基地址。uintptr_t GetModuleBaseAddress(DWORD pid, const wchar_t* moduleName) { uintptr_t baseAddr 0; HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, pid); if (snapshot ! INVALID_HANDLE_VALUE) { MODULEENTRY32W moduleEntry; moduleEntry.dwSize sizeof(MODULEENTRY32W); if (Module32FirstW(snapshot, moduleEntry)) { do { if (_wcsicmp(moduleEntry.szModule, moduleName) 0) { baseAddr (uintptr_t)moduleEntry.modBaseAddr; break; } } while (Module32NextW(snapshot, moduleEntry)); } CloseHandle(snapshot); } return baseAddr; }读取进程内存核心函数用于从目标进程的指定地址读取指定大小的数据。templatetypename T T ReadMemory(HANDLE hProcess, uintptr_t addr) { T value; ReadProcessMemory(hProcess, (LPCVOID)addr, value, sizeof(T), nullptr); return value; } // 专门用于读取指针地址的重载版本因为指针宽度可能不同x86为4字节x64为8字节 uintptr_t ReadMemoryPtr(HANDLE hProcess, uintptr_t addr) { #ifdef _WIN64 return ReadMemoryuintptr_t(hProcess, addr); #else return ReadMemoryDWORD(hProcess, addr); #endif }4.2 实现多级指针寻址逻辑这是整个读取器的核心算法它模拟了指针链的遍历过程。uintptr_t FindDynamicAddress(HANDLE hProcess, uintptr_t baseAddr, const std::vectoruintptr_t offsets) { uintptr_t addr baseAddr; for (size_t i 0; i offsets.size(); i) { // 读取当前地址的值它是一个指针 addr ReadMemoryPtr(hProcess, addr); if (addr 0) { std::cerr [错误] 读取指针失败偏移链在层级 i 中断。 std::endl; return 0; } // 加上当前层级的偏移量 addr offsets[i]; } // 循环结束后addr指向最终值的地址但最后一次偏移后不需要再解引用。 // 实际上我们的offsets向量应该设计为前N-1个是解引用前的偏移最后一个是最终值的偏移。 // 更清晰的写法是分开处理 return addr; } // 更清晰版本的实现 uintptr_t ResolvePointerChain(HANDLE hProcess, uintptr_t baseAddr, const std::vectoruintptr_t offsets) { uintptr_t currentAddr baseAddr; // 遍历除了最后一个偏移之外的所有偏移 for (size_t i 0; i offsets.size() - 1; i) { currentAddr ReadMemoryPtr(hProcess, currentAddr offsets[i]); if (!currentAddr) return 0; // 读取失败 } // 加上最后一个偏移得到最终数据的地址 return currentAddr offsets.back(); }4.3 主函数与完整流程将上述所有部分组合起来int main() { // 1. 查找Dota2进程 const wchar_t* processName Ldota2.exe; const wchar_t* moduleName Lclient.dll; DWORD pid GetProcessId(processName); if (pid 0) { std::cout 未找到进程: processName std::endl; system(pause); return 1; } std::cout 找到进程 PID: pid std::endl; // 2. 打开进程获取句柄需要PROCESS_VM_READ权限 HANDLE hProcess OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, pid); if (!hProcess || hProcess INVALID_HANDLE_VALUE) { std::cout 无法打开进程。错误代码: GetLastError() std::endl; system(pause); return 1; } // 3. 获取client.dll的基地址 uintptr_t clientDllBase GetModuleBaseAddress(pid, moduleName); if (clientDllBase 0) { std::cout 未找到模块: moduleName std::endl; CloseHandle(hProcess); system(pause); return 1; } std::cout moduleName 基地址: 0x std::hex clientDllBase std::dec std::endl; // 4. 定义我们的指针偏移链 // 示例client.dll基地址 0x6A9EC0 - 0x10 - 0x20 - 0x18 (血量) // 注意第一个偏移是相对于模块基址的静态偏移后续偏移是每次解引用后相加的偏移。 uintptr_t staticOffset CLIENT_DLL_OFFSET; std::vectoruintptr_t pointerOffsets { OFFSET_1, OFFSET_2, HEALTH_OFFSET }; // 5. 计算动态地址 uintptr_t dynamicAddr ResolvePointerChain(hProcess, clientDllBase staticOffset, pointerOffsets); if (dynamicAddr 0) { std::cout 解析指针链失败可能偏移已过期或游戏状态未初始化。 std::endl; CloseHandle(hProcess); system(pause); return 1; } std::cout 计算出的动态地址: 0x std::hex dynamicAddr std::dec std::endl; // 6. 循环读取血量值假设是4字节整数 std::cout \n开始读取血量按CtrlC退出...\n std::endl; while (true) { int healthValue ReadMemoryint(hProcess, dynamicAddr); std::cout 单位血量: healthValue \r; // \r 实现原地刷新 std::cout.flush(); Sleep(100); // 每100毫秒读取一次避免过高CPU占用 } // 清理实际上上面的循环不会退出这里只是示范 CloseHandle(hProcess); return 0; }注意事项上述代码中的偏移量CLIENT_DLL_OFFSET,OFFSET_1等均为示例绝对不可直接使用。你必须通过Cheat Engine针对你当前使用的Dota 2版本进行实际分析得到正确的偏移量。游戏每次更新都可能导致偏移量变化。5. 进阶挑战与优化方向一个基础的读取器已经完成但它在鲁棒性和实用性上还很初级。下面探讨几个进阶方向5.1 处理多级对象与实体列表我们刚才读取的可能是本地玩家控制的英雄的血量。如何读取屏幕上所有可见单位包括小兵、野怪、敌方英雄的血量这需要找到游戏的“实体列表”Entity List。定位实体列表通常会有一个全局指针指向一个“客户端状态”或“实体系统”对象其中包含一个实体数组或链表的头指针。你可以通过Cheat Engine搜索“单位数量”或分析访问了多个单位公共属性的代码来定位这个列表。遍历实体获取到列表基址后你需要知道每个实体的“步长”对象大小然后通过循环遍历。每个实体都有一个唯一的索引或ID并且有一个“类指针”指向描述其类型英雄、小兵等的信息。筛选有效单位在遍历时需要检查实体是否有效指针非空、是否存活、是否是您关心的类型比如需要区分英雄和特效单位。这通常通过读取实体内部的“标志位”或“生命周期状态”字段来实现。读取单位信息对于每个有效的单位实体按照之前分析出的偏移链可能和本地英雄的链类似但基于实体基址去读取其血量、魔法、坐标等信息。5.2 应对游戏更新与偏移失效这是外部辅助工具最大的维护成本。游戏一更新偏移量就可能全变。特征码扫描Pattern Scanning不直接使用硬编码的偏移量而是在游戏模块的内存中搜索一段独特的字节序列特征码这段序列在我们需要的指令或数据附近。通过计算特征码位置与目标地址的相对偏移可以在游戏更新后自动定位地址。例如寻找访问血量函数的特定汇编指令序列。指针映射文件与自动更新将复杂的多级指针链保存为配置文件。可以编写一个更新器在游戏更新后引导用户快速进行简单的指针重新扫描通常只需要重新定位最顶层的模块偏移然后自动计算并更新配置文件。使用符号信息如果可用一些游戏在开发版本中会包含调试符号但正式版通常会被剥离。对于像Dota 2这样使用Source引擎的游戏其某些服务器版本或通过特定方式可能能获取到部分符号但这属于高级逆向范畴。5.3 提升程序稳定性和可读性错误处理上述示例代码错误处理很简陋。在生产代码中每次ReadProcessMemory调用后都应检查返回值OpenProcess失败应尝试提升权限或给出明确提示。性能优化频繁调用ReadProcessMemory是有开销的。对于需要读取大量数据如遍历所有单位的情况可以考虑一次性读取一块连续内存如整个实体列表结构然后在本地解析但这需要精确知道数据结构布局。结构化数据定义与游戏内数据结构对应的C结构体或类使代码更清晰。例如定义一个CBaseEntity结构体包含血量、魔法、坐标等成员变量及其偏移量。读取时直接将内存内容复制到该结构体实例中。多线程将内存读取、数据处理、UI渲染放在不同线程避免阻塞。6. 常见问题与调试技巧实录在开发过程中你几乎一定会遇到下面这些问题Q1:ReadProcessMemory失败返回错误代码 299 (ERROR_PARTIAL_COPY)。A1:这是最常见的问题之一。它表示只成功读取了部分请求的数据。原因可能是 * 目标地址无效或未提交NULL指针或已被释放。 * 在读取过程中目标进程的对应内存页面被换出或权限更改。 *最常见原因你的指针链中某一级已经失效读到了一个错误的地址导致后续地址非法。 *排查方法逐级打印和验证指针链。在ResolvePointerChain函数中每计算一步就输出当前地址并用CE手动验证这个地址是否有效在CE中查看该地址是否有合法数据。确保你的偏移量是针对当前游戏版本的。Q2: 程序能运行但读出来的血量值一直是0、负数或一个巨大的随机数。A2:这通常是数据类型或偏移量错误。 *数据类型血量不一定是int也可能是float单精度浮点数或double。在CE中查看时注意数值类型。尝试用ReadMemoryfloat读取。 *偏移量错误最后一级偏移可能不对。血量可能不在你找到的指针链的末尾而是那个地址指向的结构体里的一个字段。用ReClass.NET分析最终指向的地址周围的内存确定血量的准确偏移。 *字节序x86/x64架构是小端序通常没问题。但如果与网络数据交互需注意。Q3: 游戏更新后我的程序完全不能用了。A3:偏移量失效了。你需要用CE重新进行指针扫描。如果之前保存了指针扫描结果.ptr文件可以在CE中加载然后“重新扫描内存”看看有没有幸存下来的指针路径。更稳健的方法是转向特征码扫描。Q4: 如何避免被游戏的反作弊系统检测A4:这是一个猫鼠游戏。对于纯粹的外部读取只使用ReadProcessMemory风险相对较低但并非为零。以下是一些基本原则 *绝对不要写入游戏内存任何WriteProcessMemory调用或修改游戏代码的行为风险极高。 *降低读取频率不要以每秒上百次的频率轮询。像我们示例中Sleep(100)是合理的。 *避免可疑的API Hook不要尝试注入DLL或Hook游戏函数。 *不要在联机对战中使用这是最重要的。仅在单机、本地服务器或与机器人游戏时进行技术研究。 *注意程序名和窗口名避免使用过于明显的名称。Q5: 除了血量我还能读什么A5:理论上游戏内存中所有数据都可以读取只要你能找到地址。常见的还有魔法值、坐标X, Y, Z、技能等级和冷却时间、装备信息、玩家金币和木材RTS游戏、游戏状态是否正在游戏中等。思路都是一样的用CE扫描变化的值分析指针链。坐标通常是float类型冷却时间可能是float剩余秒数或int游戏刻。调试技巧分而治之将长的指针链拆分成几段分别验证。先验证模块基址静态偏移读出来的是不是一个有效的指针在CE里看是否指向一个看起来像结构体的内存区域。善用CE的“手动添加地址”和“指针”功能在CE地址列表下方手动添加地址时可以勾选“指针”并输入你的基地址和偏移链CE会帮你实时计算并显示值。这是验证指针链是否正确的最快方法。关注“未改变”的值有时候你要找的数据在游戏初始化后就一直不变比如最大血量。扫描时可以选择“未改变的数值”来过滤掉变化频繁的干扰项。理解游戏框架了解Source引擎或其它引擎的基本架构比如“Entity”、“CBaseEntity”、“NetVar”等概念能极大提升逆向效率。网络变量NetVar是服务器同步给客户端的数据其偏移量可以通过引擎的接口或特定模式计算比盲目扫描更高效。
