1. 从“作弊”到“逆向”：Cheat Engine的深度价值再认识

一提到Cheat Engine，很多人的第一反应是“游戏修改器”。没错，它最初确实是为了修改单机游戏的内存数据，实现“无敌”、“无限金币”这类功能而诞生的。但如果你仅仅把它当作一个“作弊工具”，那就大大低估了它的价值。在我十多年的逆向工程和软件分析工作中，Cheat Engine（后文简称CE）一直是我工具箱里不可或缺的“瑞士军刀”。它本质上是一个功能极其强大的内存扫描、调试和分析平台，是理解计算机程序运行时状态、学习软件逆向工程、乃至进行安全漏洞分析的绝佳入门阶梯。

对于初学者来说，CE提供了一个图形化、可视化的窗口，让你能直观地看到程序在内存中“活”的样子。你不再需要面对冰冷的汇编指令和十六进制代码望而却步，而是可以通过搜索数值、查看内存变化、甚至直接注入代码来与程序互动。这个过程，正是理解“程序如何工作”的核心。无论是想了解游戏机制背后的逻辑，分析某个软件的注册验证流程，还是单纯对“计算机如何运行程序”感到好奇，CE都能提供一个低门槛、高反馈的学习路径。

本教程将基于最新的Cheat Engine 7.4版本，带你进行一次系统性的深度训练。我们的目标不是简单地教你如何“开挂”，而是让你掌握CE的核心工作流和思维方式，从而能够独立分析、理解和干预一个运行中的进程。你会发现，掌握了这些技能，你眼中的软件世界将变得完全不同。

2. 核心工作流：CE是如何“思考”的

要熟练使用CE，首先必须理解它的核心工作流。这个流程是线性的、逻辑严密的，几乎适用于所有内存扫描场景。我们可以把它总结为“附加、扫描、锁定、分析”四步循环。

2.1 第一步：进程附加与内存空间窥探

启动CE后，你看到的第一个重要界面就是进程列表（点击左上角的电脑图标）。这里列出了你系统上所有正在运行的进程。选择一个目标进程（比如一个游戏），点击“Open”，CE就成功“附加”到了这个进程上。

注意：附加进程需要相应的权限。如果遇到无法附加的情况（尤其是对某些有反作弊或保护机制的程序），可以尝试以管理员身份运行CE。但请务必遵守法律法规和软件用户协议，仅将技术用于合法的学习和研究场景。

成功附加后，CE就获得了读取和写入该进程内存空间的权限。此时，左侧的“Address List”（地址列表）区域还是空的，因为我们还没有找到任何有用的内存地址。整个工作流的核心，就是通过不断的“扫描”，从进程庞大的内存空间中（通常是几个GB）定位到存储我们感兴趣数据（比如生命值、金钱数）的那个或那几个“字节”。

2.2 第二步：内存扫描的艺术与策略

点击“First Scan”（首次扫描）按钮，会弹出扫描参数设置窗口。这是CE最强大也最需要理解的部分。扫描的本质是“大海捞针”，而扫描策略就是你的“捞针指南”。

1. 数值类型（Value Type）这是最关键的选择。它告诉CE，你要找的数据在内存中是以什么格式存储的。

• 4 Bytes（4字节）：最常用的类型。绝大多数整数，如生命值、经验值、物品数量，在32位和64位程序中通常以4字节整数存储。
• Float（单精度浮点数）：用于存储带小数点的数值，比如坐标（X, Y, Z）、百分比、时间等。
• Double（双精度浮点数）：更高精度的浮点数，在一些对精度要求高的计算中使用。
• String（字符串）：用于查找文本，比如玩家名字、物品名称。需要指定字符串的编码（如UTF-8）。
• Array of byte（字节数组）：最底层的搜索，用于查找特定的机器码或数据模式，适合高级用途。

2. 扫描类型（Scan Type）

• Exact Value（精确值）：你知道当前的确切数值时使用。比如你知道生命值是100，就搜100。
• Unknown initial value（未知初始值）：当你不知道数值是多少，但知道它会变化时使用。CE会记录下所有可读内存区域的状态，作为后续变化比较的基准。
• Increased value / Decreased value（数值增加/减少）：在已知初始值未知或首次扫描结果太多时，通过数值的变化来过滤。比如被攻击后生命值减少，就选“Decreased value”。
• Changed value / Unchanged value（数值改变/未改变）：更宽泛的过滤，不关心增减，只关心是否变化。

3. 内存扫描范围与速度的权衡默认的“All”（全部）范围会扫描进程的整个可访问内存，虽然全面但可能较慢。对于游戏，有时可以尝试“Writable”（可写）或“Executable”（可执行）区域来缩小范围，因为关键的游戏状态数据通常存储在可写区域。不过对于初学者，建议先使用“All”。

首次扫描后，左侧地址列表可能会返回成千上万个结果。别担心，这正是逆向分析的精髓所在——通过不断变化的条件，逐步缩小范围。

2.3 第三步：动态过滤与精确锁定地址

假设我们搜索生命值100，得到了500个地址。我们无法确定哪个是真正的生命值地址。这时，我们需要让游戏中的生命值发生变化（比如受到一次伤害），然后在CE中再次扫描。

1. 让游戏内生命值从100变成80。
2. 在CE的扫描值输入框里，将扫描类型改为“Decreased value”（减少的值），点击“Next Scan”。
3. CE会将上次的500个地址与当前内存状态对比，只保留那些值减少了（且减少幅度匹配）的地址。结果可能锐减到几十个甚至几个。
4. 重复这个过程：让生命值再次变化（吃药恢复或再次受伤），继续用“Increased value”或“Decreased value”扫描。通常经过2-4次变化过滤，就能将地址锁定到唯一的一个或少数几个。

找到疑似地址后，你可以将其添加到下方的地址列表中。右键点击地址，选择“Browse this memory region”，可以打开内存浏览器，查看该地址周围的数据结构，这有助于你发现更多相关数据（比如紧挨着的魔力值、体力值地址）。

2.4 第四步：地址锁定、修改与代码注入

将找到的地址拖到下方地址列表后，你可以：

• 查看与修改：双击地址的“Value”列，可以直接输入新值并锁定（激活前面的复选框）。例如，将生命值锁定为100，实现“无敌”。
• 找出是什么改写了这个地址：这是CE的“杀手锏”功能。右键地址，选择“Find out what writes to this address”。CE会设置一个内存访问断点。然后你回到游戏，做一次会让该地址数值改变的操作（比如被攻击掉血）。CE会立即暂停目标进程，并显示是哪一条汇编指令、在哪个模块中修改了这个地址。这直接带你找到了游戏逻辑中处理伤害计算的关键代码位置！
• 找出是什么读取了这个地址：类似地，可以定位读取该地址的代码，常用于分析UI显示逻辑。

通过“找出访问”功能，你就从单纯的数据修改，迈入了动态分析和代码逆向的大门。你可以查看、修改甚至注入新的汇编代码，实现更复杂的功能，比如一击必杀、技能无冷却等。

3. 高级功能实战：指针扫描与多级指针解析

很多现代游戏和软件会使用动态内存分配，导致关键数据的地址每次启动游戏时都会变化。直接找到的地址（我们称为“静态地址”）下次运行就失效了。为了解决这个问题，我们需要寻找“指针”。

3.1 为什么需要指针？

程序在运行时，操作系统为其分配的内存基址（Image Base）和堆（Heap）地址是随机的（ASLR技术）。但程序内部的相对偏移关系通常是固定的。指针就是一个保存着目标地址的内存地址。如果我们能找到指向生命值数据的指针，而这个指针本身的地址是相对固定的（比如相对于某个模块基址的偏移），那么我们就可以通过“模块基址+固定偏移”的方式，在任何时候都准确定位到生命值。

3.2 使用“指针扫描”功能

CE内置了强大的指针扫描工具。

1. 首先，按照上一章的方法，找到当前游戏会话中的生命值静态地址。
2. 右键该地址，选择“Pointer scan for this address”。
3. 在弹出的对话框中，保持默认设置（通常即可），点击“OK”。CE会开始扫描整个内存空间，寻找所有可能指向该生命值地址的指针链。
4. 扫描完成后，会生成一个庞大的指针列表。我们需要从中筛选出“稳定”的指针。一个稳定的指针通常具有以下特征：
   • “Pointer”列显示为“模块名+偏移”的形式（如game.exe+1A3F4C），而不是一个纯数字地址。
   • “Offset”列的最后一级偏移是一个较小的数字（如0、4、8等）。
   • 你可以通过重启游戏（进程基址会变），然后用这个指针公式去验证。如果重启后依然能正确指向生命值，那就是我们要找的“基址指针”。

3.3 解读多级指针链

有时，数据访问路径很长，会形成多级指针。例如：[[[game.exe + 0x100000] + 0x50] + 0x20] + 0x10 -> 生命值这表示：

1. 从game.exe模块的基址开始，加上0x100000偏移，得到一个地址A。
2. 读取地址A中存储的值，它是一个指针，指向地址B。然后加上0x50偏移，得到地址C。
3. 读取地址C中存储的值，它是一个指针，指向地址D。然后加上0x20偏移，得到地址E。
4. 读取地址E中存储的值，它是一个指针，指向地址F。最后加上0x10偏移，才得到最终的生命值地址。

CE的指针扫描结果会以类似game.exe+100000->50->20->10的形式展示。理解并验证多级指针是应对复杂游戏内存结构的关键。

3.4 手动添加指针与偏移计算

找到稳定的指针链后，你可以在CE地址列表手动添加。

1. 点击地址列表下方的“Add Address Manually”按钮。
2. 勾选“Pointer”复选框。
3. 在“Address”输入框中，填入指针链。例如，对于上面的例子，你需要点击“Add Offset”多次，形成多级：
   • 第一级：game.exe+100000(作为地址)
   • 第二级：偏移0x50
   • 第三级：偏移0x20
   • 第四级：偏移0x10
4. 点击“OK”，CE会自动计算并显示出当前正确的生命值地址。重启游戏验证，如果依然有效，恭喜你，你找到了一个“永久性”的修改入口。

4. 汇编层面操作：代码查找、分析与注入

当你能稳定定位数据后，就可以向更底层探索——修改程序的执行逻辑。这需要一些基础的汇编语言知识，但CE让这个过程变得直观。

4.1 使用“找出是什么改写了/访问了此地址”

如前所述，这个功能会设置硬件断点。当游戏执行到修改或读取特定地址的指令时，CPU会暂停，并将控制权交还给CE的调试器。此时，CE主界面下方会弹出“Disassembler”（反汇编）窗口，黄色高亮显示的就是那条关键的汇编指令。

例如，你可能看到：mov [eax+10], ecx这条指令将ecx寄存器的值，存入以eax寄存器值为基址、偏移0x10的内存地址中。如果[eax+10]就是你的生命值地址，那么ecx里存的就是将要写入的新生命值。

4.2 分析代码上下文与编写注入脚本

在反汇编窗口中，你可以查看这条指令前后的代码，理解这段逻辑的功能（比如，可能是ecx = 当前生命值 - 伤害值）。然后，你可以选择修改它。

• 直接修改指令：双击该指令，可以直接改写汇编代码。比如，想把伤害改成0，可以找到计算伤害并减血的指令，将其改为nop（空操作）或直接mov ecx, [当前生命值]（保持原值）。

  注意：直接修改内存中的代码是临时的，游戏重启后失效。且修改需谨慎，错误的指令可能导致游戏崩溃。

• 注入自定义汇编代码（AA脚本）：这是更强大和灵活的方式。右键指令，选择“Auto Assemble”（自动汇编）。CE会打开一个脚本编辑器，并自动生成一段包含目标地址和原始代码的模板。你可以在此编写自己的汇编脚本。例如，实现“伤害减半”：

  [ENABLE] // 代码将在激活时注入 alloc(newmem, 2048) // 在目标进程分配一小块内存，用于存放我们的新代码 label(returnhere) label(originalcode) label(exit) newmem: // 这是我们新代码的起点 originalcode: // 这里放置原始指令的副本 // 假设原始指令是：sub ecx, edx // ecx = ecx - edx (edx是伤害值) sar edx, 1 // 将edx（伤害值）算术右移1位，即除以2（取整） sub ecx, edx // 使用减半后的伤害进行计算 exit: jmp returnhere // 跳回原程序继续执行 // 下面是注入逻辑，将原指令跳转到我们的新代码 “目标地址”: jmp newmem nop // 可能需要nop来填充原指令占用的字节 returnhere: [DISABLE] // 代码禁用时的清理逻辑 “目标地址”: // 恢复原始指令 // sub ecx, edx dealloc(newmem) // 释放分配的内存

  编写完脚本后，点击“Execute”即可注入。脚本会在CE中保持激活状态，实现动态修改游戏逻辑。点击“Stop”则会恢复原状。

4.3 使用“代码查找器”定位功能区域

除了从数据找代码，CE还可以直接从代码模式搜索。点击菜单“Memory View” -> “Code Finder”。你可以输入一段汇编指令的模式（支持通配符），让CE在内存中搜索。这对于寻找已知的函数或代码片段非常有用。

5. 实战避坑指南与疑难问题排查

理论学得再多，不如实战踩坑。下面分享一些我在使用CE过程中积累的常见问题与解决技巧。

5.1 扫描不到或结果过多/过少

• 问题：首次扫描后结果数为0或异常多（几百万）。
• 排查：
  1. 确认数值类型：这是最常见错误。如果你搜整数100，但游戏实际用Float类型存储100.0，你就搜不到。尝试更换4 Bytes,Float,Double等类型。对于模糊数值（如血条没有具体数字），用Unknown initial value开局。
  2. 确认扫描范围：某些游戏可能将数据放在特定的内存区域（如堆、栈），尝试更换扫描范围。
  3. 确认进程权限：以管理员身份运行CE。
  4. 游戏有保护：一些在线游戏或带有反作弊（如EAC, BattlEye）的单机游戏会检测并阻止CE等调试器附加。切勿尝试绕过在线游戏的反作弊系统，这违反用户协议且可能导致封号。对于单机游戏，可以尝试CE的“Stealth”（隐身）模式或使用“VEH Debugger”等选项，但成功率不定。

5.2 找到的地址重启后失效

• 问题：本次游戏找到的地址，下次启动游戏就无效了。
• 解决：这是动态内存分配的典型特征。你必须使用指针扫描功能来寻找基址指针。参考第3章。如果指针扫描也找不到稳定的，可能数据存储在堆栈或非常动态的结构中，分析难度极大。

5.3 “找出是什么访问了地址”没有结果

• 问题：设置了查找访问，但游戏运行时CE没有中断。
• 排查：
  1. 确认地址正确：地址可能已经失效，或者你找的地址并非程序真正频繁访问的地址（可能是个副本）。
  2. 访问频率：该地址可能只在特定事件（如初始化、保存时）被访问一次。确保你在执行会触发该访问的操作。
  3. 断点类型：确保你选择的是正确的断点类型（写入、读取、执行）。对于数据，通常是“写入”或“读取”。
  4. 硬件断点限制：CPU的硬件调试寄存器数量有限（通常4个）。如果同时设置太多“查找访问”，可能会失败。先清除其他断点再试。

5.4 修改数值后游戏崩溃或无效果

• 问题：修改了某个地址的值，游戏立刻崩溃或修改无效。
• 排查：
  1. 数据类型错误：将浮点数当作整数修改，可能得到一个极大或极小的异常值，导致游戏逻辑错误崩溃。
  2. 修改了只读内存：有些数据是只读的，强行写入会导致访问违规。尝试前先确认地址是否有写入权限（在内存浏览器中查看）。
  3. 修改了错误地址：你修改的可能只是一个显示用的副本，而非实际控制逻辑的变量。需要找到真正的主变量。
  4. 游戏有校验：游戏可能在其他地方存有该数据的副本，并定期进行校验，发现不一致就纠正或报错。你需要找到校验代码并一并修改，或者找到数据的源头。

5.5 使用表格与共享脚本

CE社区非常活跃，很多人会分享他们制作的.CT文件（Cheat Table），里面包含了针对特定游戏版本找好的地址、指针和脚本。

• 使用：下载.CT文件后，在CE中点击“File” -> “Load”，选择该文件，即可载入所有定义好的条目。这非常适合学习别人是如何分析一个游戏的。
• 制作：当你完成一个复杂的分析后，可以将地址列表保存为.CT文件，方便自己下次使用或分享。确保你保存的是指针而非静态地址。
• 风险：从网络下载的.CT文件可能包含恶意代码（通过Auto Assembler脚本）。只从可信来源下载，加载前最好用文本编辑器检查一下脚本内容。

6. 从CE出发：逆向工程学习路径建议

掌握了CE的基本和高级操作，你已经打开了软件逆向工程的大门。如果你想继续深入，我建议按以下路径学习：

1. 巩固基础：继续用CE分析更多不同类型的单机程序和小游戏。尝试修改不同类型的变量（整数、浮点数、字符串、数组），练习使用指针扫描和代码注入。
2. 学习汇编语言：这是逆向工程的基石。不需要成为专家，但要能读懂常见的指令（mov, add, sub, cmp, jmp, call, ret等）和理解栈、寄存器的基本概念。CE的反汇编窗口是你最好的练习场。
3. 使用专业调试器：过渡到更专业的调试器，如x64dbg或GDB。它们提供更强大的底层调试功能，如符号加载、更灵活的断点设置、插件系统等。
4. 学习静态分析：使用IDA Pro或Ghidra等静态反汇编工具，在没有运行程序的情况下分析代码逻辑、梳理函数调用关系、识别库函数。静态分析与动态调试（CE/x64dbg）结合，才是完整的逆向。
5. 理解可执行文件结构：学习PE（Windows）或ELF（Linux）文件格式，了解节区、导入表、导出表等概念，明白操作系统是如何加载和运行一个程序的。

记住，技术的目的是理解和创造。Cheat Engine是一个绝佳的学习工具，它用可视化的方式揭开了程序运行的神秘面纱。请始终将你的知识和技能用于合法的、符合道德的方向，例如软件调试、安全研究、理解计算机原理，或是为自己喜欢的单机游戏创造一些有趣的模组。保持好奇心，享受探索的乐趣，你会发现底层软件世界的魅力远超想象。