Windows 逆向使用 CE 分析内存地址 ( 运行游戏 | 使用 CE 工具分析游戏内子弹数量对应的内存地址 | 内存地址初步查找 | 使用二分法定位最终的内存地址 )

Posted 2021-12-13 韩曙亮

文章目录

• 一、运行游戏
• 二、使用 CE 分析游戏内子弹数量对应的内存地址
• • 1、内存地址初步查找
  • 2、使用二分法定位最终的内存地址

一、运行游戏

---

到 https://dl.3dmgame.com/pc/32846.html 页面 , 下载 Cs1.6 版本 ;

解压后 , 运行 cstrike.exe 程序 ;

启动后 , 会提示输入 CDK , 这里输入全 3 就可以 ;

进入游戏后 , 选择在窗口中显示 , 方便查看 ;

二、使用 CE 分析游戏内子弹数量对应的内存地址

---

1、内存地址初步查找

使用 CE 搜索进程 , 打开该射击游戏 ;

随便捡起一把枪 , 打一发子弹 , 显示 49 发子弹 ;

使用 CE 搜索 49 , 点击 " 首次扫描 " 按钮 ;

扫描后 , 搜索出来 2991 个值为 49 的 4 字节内存 ;

再开一枪 , 变成 48 ,

输入 48 , 选择再次扫描 ;

这次只剩下 196 个内存 ;

再开几枪 , 变成 43 发子弹 ,

再次扫描 , 还是 196 个 ;

开枪到 32 枪 , 再次扫描 ;

扫描 32 , 还是 196 个内存地址 ;

在找到的内存地址中 , Ctrl + A 全部选中 , 然后点击红色按钮 , " 复制左右选择项到地址列表 " ;

2、使用二分法定位最终的内存地址

使用 Shift 键 , 选中一半内存地址 , 右键点击选中的地址 , 选择弹出菜单中的 " 切换选中的记录 " 选项 ;

此时这些内存地址被锁定 ;

开枪后 , 发现子弹仍然是 32 , 说明选中的部分中 , 有子弹的地址 , 删除没有选中的部分 ;

选中没有锁定的部分 , 按 Delete 键删除 ;

在弹出的对话框中 , 确定删除 ;

现在开始针对剩下的部分进行分析 ;

将下半部分选中 , 右键菜单选择 " 切换选中记录 " ,

下半部分 , 取消锁定状态 ,

再次开枪 , 仍是 32 发子弹 , 说明此时锁定的部分内存中有实际子弹数目 , 当前没有锁定的内存地址 , 可以删除 ;

再次把下半部分取消选中 , 测试是否是子弹地址 ,

最终找到一个地址 , 就是子弹地址 , 实际上就是上述所有地址中的第二个地址 , 将该内存地址的值改为 99 , 则子弹数也变成了 99 ; 这个数字只是显示的子弹个数 , 开不出枪来 , 还要精确定位实际的子弹数 ;

此时该地址可以标记为 子弹的地址 ;