修改教程之游戏分析（动态内存转为静态内存）本文出在 轻描淡写编程论坛 http:/www.luocong.com/bbs 作者：CrackYY 掀开高级游戏黑客的面纱，教你打造游戏修改器工具:SoftICE、金山游侠 2002、VC+7.0、PE 查看器、SPY+测试平台：Window2000 Professional SP2 大家好！我先给大家拜个晚年，时间过真快工，一年又过去了，我也和大家分开一年了，真是感慨万分呀，不知道大还记得不记得 YY 了，不过我是不会忘记大家的.这一年真是太忙了，根本就没有时间再像从前那样在深夜里一边听着音乐一边写文章了，今天就着假期，再给大家充充电：D今天 YY 给大家带来些什么呢？呵呵，看题目就知道了，看起来很酷吧，“高级游戏黑客”,什么？你说你就游戏黑客？看好了，是 “高级 ”的！什么是高级的？等你看完这篇文章就知道了：D首先我介绍一下将会用到的工具：1、 SoftICE（不用多说了吧，我想你应该会用）2、 金山游侠 2002（这个你也应该会用）3、 VC+7.0(不要求你一定会用，但至少应该会一种编程工具)4、 PE 查看器( 你可以随意找一个，没有也没关系，我会教你用 SoftICE 查看)5、 SPY+(VC 里的一个查 看程序信息的工具，你可以和别的，比如 Delphi 和C+Builder 的 WinSight32)然后就是你应该会的知识:1、 汇编基础2、 一些编程基础，至少应该看懂我介绍的几个 API 函数3、 PE 文件结构的基础，不会也没关系，我会解释给你以上几点你都具备了的话我们就可以开始了。我来介绍一下我要教给你的东西。想必大家都玩过 PC 游吧，那么也一定用过一些专用的游戏修改器吧，比如暗黑，红警，大富翁 这些 经典的游戏都有它们专用的修改器，注意，我说的不是 FPE 之类的通用修改工具。你试没试过用金山游侠修改红警二的金钱？如果有的话你应该知道每玩一次就要改一次，因为这个游戏是动态分配内存的，每次重新开始都会改变。所以你会 选择到网上去下载一个专用的修改器，那么你有没有想过自己做一上呢？想过？那你为什么不做？什么不会？那就好办了，看了这篇教程你就会了：D 费话少说，我来讲一下原理。有一些经常修改游的朋友一定会知道，不论游戏中“物品”的内存地址是否是动态的，物品与物品之间相隔的距离都是不变的，我拿 “楚留香新传”为例，我先用金山游侠查找内力值的内存地址，找到的结果是:79F695C，再 查找物品“金创药”的地址是：328D1DC，现在我用 79F695C 减去 328D1DC，得到：4769780，这个数就是内力值与金创药的偏移值，没看懂？接着看呀，我还没说完呢， 现在重新再运行游戏，查找内力值的地址，得到：798695C 再查找金创药得到的地址是：321D1DC，两个值的内存地址都改变了，但是用你内力值的地址减去金创药的地址得到的结果是什么？没错，还是 4769780，也就是说，无论这两个值 的内存地址变成多少，它们之间的距离是永远不变的，不光是这个游戏，一般的游 戏都是，至少我没 见过不是的：D上面讲的东西总结出一个结论，那就是我们只要得到这两个地址中的任何一个，就可以得到另外一个，只要你知道它们之间的偏移量是多少。我们第一步要做的就是得到这个地址，但是内存中的地址是动态改变的，得到也没有用，这里我就教你把它变成静态的，叫它永 远都不变！我继续拿“楚留香新传”为例，如果你有这个游的话就跟我一起做，没有的也没关系，只要看懂这几个步骤就行了。开工！首先进入游戏，查找内值的地址，得到的是：798695C（不知道为什么这上游并不是每次重起都改变内存地址），按 Ctrl+D 打开 SoftICE，下命令：BPM 798695C W（写这个地址时则中断），回到游戏中，打开人物属性面板，游 戏中断了，在 SofitICE 中你会看到这条指令:0047EB17 MOV EAX EDX+000003F4 下命令：D EDX+3F4 将看到内力值 0047EB1D PUSH EAX从上面可看出 0047EB17 处的指令是将内力值的指针送到 EAX 寄存器中，这是一个典型的寻址方式，设想一下，我们是到了 EDX 中的基址，那么无论什么时候只要用 EDX+3F4 就可以轻松的得到内力值的地址，因为 000003F4 是一个常量，它是不会改变的，改变的只是 EDX 中的地址，所以只要有 办法得到 EDX 中的值就什么都好办了，你明白了没有？如果还是不懂，那么 请再看一遍。现在要做的就是如何得到这个值，下面我教给你如何做:我的办法就是设计一段代码，把 EDX 中的值存放到一个地址中，然后运行这段代码，再返回游戏的原有指令继续执行，什么？ 补丁技术？SMC ？随你怎么说啦，只要运行正常就一切 OK 啦：D实际操作：首先在程序中找一段空白处来存放我们设计的代码，很简单，只要懂得一些 PE 文件结构的朋友都会知道，一般在 EXE 文件的数据段（.data 段）的结尾都会有一段缓冲区，我们可以在这段区域中写任何东西，当然你也可以用“90 大法”找一段空白区，但我还是推荐你用我教给你的方法。上同我提到，如果你没有 PE 文件查看工具我可以教你用 SoftICE 查看，而且很简单，只要一个命令：MAP32 “模块名”，看一下我是怎么做的你就知道了。Ctrl+D 呼收出 SoftICE，然后下命令：MAP32 CrhChs,这时你应该看到 EXE 各个段的信息，我们要注意的只是.data 段，既然要找的是数据段的结尾，那么我 们就从下一个段开始向上找，如下：.data 004FB000.rsrc 00507000.data 的下一个段是.rsrc 段，它是从 00507000 开始的，也就是说以 00507000 为基础向上一个字节就是数据段的结尾，我所择从 00506950 处开始写代码，说了这么半天那么我们的代码到底是什么样子呢？修改后的指令又是什么样的呢？别急，请看下面:修改 0047EB17 后代码：0047EB17 JMP 00506950 /跳到我们的代码中去执行 0047EB1C NOP /由于这 条指令原来的长度是 6 字 节，而修改后的 长度是 5 个字节，所以用一个空指令补上0047EB1D PUSH EAX /我们的代码：00506950 MOV DWORD PTR EAX，EDX+00003F4 /恢复我们破坏的指令00506956 MOV DWORD PTR 00506961,EDX /把 EDX 保存以 00506961 中去0050695C JMP 0047EB1D /返回原来的指令去执行把上面的代码用 SoftICE 的 A 命令写入，OK！现在我们试一下运行的效果，你现在用金山游侠搜索一下内力址的地址，什么又变了？那就地啦，它要是不变我们还用费这么大劲儿吗？记下这个地址返回到游戏中去，Ctrl+D 呼出 SoftICE，下命令 D *00506961+000003F4，在数据窗口看到什么了？呵呵，没错，看到了你刚才记住的那个地址，里面的数值正是内力的值，试着改一下，回到游戏中，呵呵，内力 值变了吧：D讲到这里，我们的工作已经完成了%90，但 别高兴的太早，后面的%10 要远比前的%90 花的时间长，因为我们要用编程实现这一切，因为你不能每次都像刚才那样做一次吧！