CheatMaker教学进阶之一 - 基地址与指针

银河漫步

$ l" F7 _2 X! R7 O3 K' Q. Q
基地址的查找与特征数据
（指针部分的使用说明在二楼，对基地址没兴趣的可跳过）

　　所谓基地址其实就是指针，其用法和指针的用法几乎相同，但是只所以区别开来还是因为模拟器这种东西，每次模拟游戏时游戏里的数据都是相对于某一个地址的偏移地址，所以与其每次都取写这个指针，不如把这个地址记录下来作为这个模拟器的基地址，则可以在做相同模拟器的游戏的时候方便很多
　　指针怎么查找？CM其实目前没有反汇编的功能，所以关于指针的查找还是建议使用CheatEngine或者OllyDBG，我个人推荐前者
% X" h' I0 ?% A7 L2 O) |　　CheatEngine简称CE，这软件功能十分强大，但是直到6.0版本，对于修改器界面的设计始终功能比较简单，无法做出比较随心所欲的修改器，而纯粹以编程的方式去处理修改器界面则门槛相对较高，所以也有了CheatMaker这一类的中间软件层的存在，所以就笔者我而言，是属于用CE寻址，然后用CM实现界面设计的这一类人（另一说，CE 6.1的版本已经可以推出了比较好的修改器设计功能，但是到目前为止笔者尚未研究出头绪…）

1 ?8 G. n; [! r, l1 N0 q% `' ~+ Y以SFC模拟器：Snex9X为例子，模拟器版本Ver 1.52，游戏三国志III，如下图查找金钱
6 ?+ j- S3 x/ B! {& M
  V7 `( X8 r2 D$ t& ~5 r8 v
" i- l( @/ E5 n' [* E; g
得到了唯一地址：013BF460
+ c9 o$ d0 E' T8 O) b1 J! I

/ ^! r  N* l8 {! f
( p8 }/ ?# o0 S9 O然后对这个数据跟踪，得到一个可能的地址指针值，注意这个地址指针值的013BCBA0是对应ESI的值，而EBX的值是28C0，这个是指的平原金钱的偏移地址
值得注意的是[ebx+esi]的模式esi通常将不是固定值，这种时候，指针的好处就特别明显了，因为每次用模拟器模拟同一个游戏，对应的数据的搜索的绝对地址往往都在变动
但是相对esi的ebx的偏移地址则是固定的

3 Q* }3 {! x6 H1 B
/ a3 N6 n* f; Y% m5 i" D
% Y. S& a1 C- {2 [* j* N4 }4 h直接搜索相关这个地址的内容可以得到以下结果

, W! N/ X' R% H6 |5 M

* R: n* w) s: S( w7 ~! ^# T/ Y如果得到的结果很多需要做一些进一步的测试和跟踪， 其实这里搜索到的这些都可以作为这个版本模拟器的基地址，比如任意选择一个0076448C
- u4 v: J! g- G. T$ A$ ]
2 m: m, {8 X$ H5 n
: Z) ]/ ^5 X7 I4 ?
+ t& O$ [2 p0 f我们可以看到，指针指向的地址的数据已经和原地址数据一致了 ，这里的28C0是之前的ebx的值，就是刚才平原城金钱的相对偏移地址
那么我们把这个指针添加到CM的支持程序管理
9 c- [" {. ]" b$ U5 p  C

+ D# T9 a6 N; K( M

' n& |9 c8 |8 y4 k# b& D; Q! A5 _这里的最大偏移量是指的相对于这个基地址所指向的地址，最大允许的偏移量是多少，SFC游戏几乎不会超过20000，但其实这里填0表示不限制，也没有关系
添加完毕后，我在CM里搜索平原城的金钱地址得到如下图片
6 m2 z& n! E5 c/ u


$ s# T$ W4 i4 q" p0 T6 j; w* @这个时候，对应的CM地址等于了原来的ebx的值，即这个金钱地址的相对偏移地址，我们的基地址添加成功了
+ z$ g  Y( F6 p1 l; C
但是这么添加基地址，仅仅只是支持了Snes9X Ver 1.52版，如果用户换了一个版本的模拟器，则将出现不支持的情况，这是因为一个程序的升级通常会让基地址发生变化，所以在模拟器里要能够支持一个系列全版本的模拟器，就需要使用动态定位基地址的方法，于是采用了“基址特征数据”这个概念
% h- u( y9 }" I' T
3 s5 _9 I  j8 q% K8 e回到我们之前的搜索出很多基地址的那个步骤，这里选择基地址其实是有诀窍的，我们启动另一个版本的Snes9X模拟器，模拟同样的游戏，同样搜索平原金钱的地址指针
# ]% A) [" t% {  E我们保留之前的模拟器进程和调试器进程，同时启动不同版本的模拟器进程双开另一个调试进程来进行跟踪调试以方便对比
: R' x7 u. u1 d$ b" a- a* W

( w: k( h! S) ~$ e9 V" C
采用同样的方法得到了 也可以得到基地址列表
& e( w3 `% p) x3 _, h1 f那么现在需要从这些基地址里面找到可以通用的特征码，这个比较考验经验，查看特数据的方式可以右键点击任意基地址，点击“反汇编该内存区域”
5 l0 ~# I/ B: [+ |" `然后找到两个不同版本的模拟器之间的通用的一个基地址特征数据，如果找不到甚至要开始进行2级或者多级指针查找
# X; O& j/ A- t# D" J所谓的基址特征数据就是指的通过一段内存数据的搜索可以定位到一个固定地址，然后通过这个固定地址增加一个偏移值就可以定位到基地址
比如这里SFC模拟器SNes9X我们就用2级指针来进行基地址搜索以及确定基址特征码，首先以0076448C作为一级指针来追踪二级指针
. Q, L/ a7 J4 c8 `3 H2 n5 g（如果这里对于多级指针的查找和添加方法看不明白的，请在网上搜索CheatEngine八步教学的教程自学一下）
, ?& b+ k  p2 O5 c

8 H- {( j% N, f2 g( X! p, q/ g% k
重新读取一下游戏就可以找到以下代码

+ I8 o7 c+ U0 w( {% Q- ]
* Z- f0 o1 k. l" P% U" Q0 i
3 s$ T7 W/ x* o- Y6 P) F使用深度扫描可以找到对应007311C8的指针


: t/ o  W# y$ Z. C- H- S" \
这个时候对于基地址的添加就多了一种方式，使用2级指针进行寻址，这时候【附加数据】需要填上1，才能正常寻址
+ k& D9 z4 i$ S& T
, }  a3 ?4 [/ Y1 }. M% C% E5 a

改完后我们可以尝试搜索平原的金钱，可以看到添加2级指针的基地址的结果和之前的效果相同
+ q" ~# t" X5 v+ A$ ~0 T

- R: B( Z7 C% u& X0 B5 ?
但是换一个版本的模拟器时同样无法使用
& b' i. K+ b1 j$ k) L5 I5 t所以我们对于其他版本的模拟器以同样的方法和选地址方式进行这个2级指针的寻址，得到对比结果如下


: [8 W, _: I2 O' _$ G
( s, n  [$ g0 V0 N/ n% u可以看到两个版本的模拟器，对应的2级指针地址很接近但并不相同，那么我需要一种可以自动定位到各个版本的基地址的方法，这种自动定位的方法就是“特征码寻址”
我们分别对上图的红框内的2级指针地址查看反汇编的代码，如下图

& [1 ^  N7 M0 k! `1 X9 c

" I& c( ]0 i& V$ {5 q0 Y然后又可以得到一个对比图，下图中选中的部分就是相关到2级指针的地址的代码
4 r9 f) Q* m" h, L& a

& ^3 v: Z" X; X4 n3 F0 I
通过观察可以看到，虽然2级指针的地址和代码不同的模拟器版本有一些区别，但是在这段代码前两者确有一段共同的代码：2B C7 48 C1 E0 05 50
# W( R! @: y$ x/ ?5 r我们不妨对这段代码进行搜索，如下图，注意反汇编里看到的字节搜索的时候要反过来，2B C7 48 C1，搜索就要搜索C148C72B

9 u- h; F+ ?9 l( E+ G5 g
! O; Q) k, S- x/ s
3 T) e" k1 q1 b+ F非常幸运的，这段代码在模拟器的程序里具有唯一性，那么我们就可以通过这段代码定位到之前的2级指针的地址
这段代码的地址是00409664，2级指针的地址是00409674，两个地址之前相差10(H)，那么我通过定位到00409664，然后增加10(H)的偏移就可以得到2级指针的基地址00409674
我们在看一下另一个版本的模拟器，这段代码定位的地址是00409FD4，而2级指针的地址是00409FE4，差值也是10(H)
! o9 ~3 o% }/ Q那么这两个版本的模拟器的共性我们就找到了（这种共性肯定不止一处，这里只是介绍方法）
最后我们就是要把共性统一成模拟器的基地址

% n* [9 [, t. G4 c+ i3 m

这里的基址特征数据就是用刚才我们所说的不同版本模拟器的共性进行定位到基地址，而这里的附加数据“5”表示找到的基地址的指向的地址的偏移，我们再把前面添加2级指针的基地址的图来对比一下
, t( A8 J) c( X. z

. n6 m) C, Z7 r0 O
按照基址特征数据的方式，我们尝试一下对其他版本的模拟器搜索金钱地址的结果，之前我搜索的是Snes9X 1.52版，现在我来搜索1.53版
, m: g# y2 v4 m9 D8 q: J' I) Y



我们可以看到，现在两个版本的模拟器通过特征地址的方式统一了搜索的结果，但是这样其实我们还只是作出了通用1.52和1.53两个版本的模拟器
9 W1 _6 \2 p/ M$ k' G如果想作出更大的兼容性，则还需要拿更多的版本的Snes9X来做这种共性的测试，最终找到一个共性地址
值得说明的是，这里的基址特征数据可以用?做替代，比如2BC748C1E00550作为特征地址码的话可以写成2B??48C1????50，这样其实可以模糊出更多的版本共性出來
本文可以看作一篇实例教学，关于附加数据和添加说明写法的详细说明
9 b& _1 [/ \6 B; _" o! z2 F还可以参考http://www.cheatmaker.org/Help/supportDoc/supportDoc.html
( q; g8 t1 [2 W这里最下面的位置写了各个基地址和附加数据的写法和作用
" R8 z: B7 m2 A! n1 M
. k& |/ n' u; o6 }7 ^4 s

银河漫步

1 |9 w) [0 n6 e( u: d+ j8 c
+ R: I: c. u# h  P指针型数据的使用
, n' G6 G8 {  c, `3 W. }/ W
　　上述关于基地址的概念其实就是指针，笔者之所以拿模拟器来举例子是因为基地址的应用大多在模拟器领域，而有很多PC游戏不同的数据用的“基地址”不是一个，这样就无法通过定义一个“基地址”来解决问题，对于这种多基地址的PC游戏，直接使用控件调用指针是最好的方法，在控件的基础教学里我们都有提到过一些控件的【附加数据】这个功能，但是其实所有的地址控件都有一个通用的附件数据“9”，9后面跟参数(第一指针,第一级偏移,第二级偏移...)，这样一个控件就可以在修改器进程里做指针寻址，而不是单纯的静态寻址

: ]7 R, U  V) S6 l5 q0 Q' H0 m我们以《植物大战僵尸》（应该没有人没玩过了吧…）这个游戏为例，使用的版本是年度版的汉化版，下图是通过指针寻址得到的游戏中的“阳光”这个数据的地址


: d& c) `+ [/ X; i$ h
8 l" G7 ]& L1 Y0 Q" M可以看到，这个数据的基地址是7784F8，第一级的偏移是868，第二级的偏移是5578，在CheatEngine里通过这种定义方式就可以准确的得到阳光的地址和数据
那么这个数据怎么在CheatMaker里制作修改器时进行添加，则可以如下图所示
4 g) L6 M0 d) B& `! U8 Y

; O: Q$ K+ D1 B5 v% H8 a* }
) J% l4 j. ~* ]/ T8 b: p$ e- c对应数据控件的地址写上指针的最后一级的偏移地址，对应这里的就是5578，而在附加数据部分，9（第一级指针7794F8,第一级偏移868），就完成了和CheatEngine相同的动态寻址效果
7 s2 a: k& a4 k6 L! l: {. Y: F我们再看一下游戏中的花园里那个喷雾剂的寻址结果
) l( h  C$ r& |0 P  G$ q6 ~. b5 `2 B
  Y5 x- Y& K" ~/ Y# t
9 X  x; M- |) v
" `1 t) F0 L( Y+ c5 s9 @6 V1 V游戏中是17，对应内存地址的数据是1017，有个简单的防修改算法，那么添加到CheatMaker寻址的方法和上述类似，但是我用了两个附加数据以控制数据的显示，如下图
  l! `# f2 \% X1 Z" ^/ V/ f
* j+ @# h* H' Z% Q7 r
6 l9 |0 J- M' j% J! a$ P
这里9(7794F8,950)以及地址里的224，和上述金钱的一样，不解释了，附加数据的后半截，用“|”符号进行了间隔，20这个附加数据是对读出的地址进行运算后再显示，这个在控件教学的TextBox控件里是有说明的，同时你写入的数据也会根据这个运算反算后再写回内存
其实我想说的是，控件的附加数据是可以用多个的，中间只需要用“|”符号间隔，我们可以看一下修改器运行的效果对比
+ L3 U2 Z* u( M
: n* H9 x* G7 p! y1 e2 _
' Q6 f4 W/ n8 d/ l3 g
2 m9 z& H6 R4 _# R- Q看上图就可以知道这样写可以让我们的修改器读起来更顺畅
( f( Y9 D: N* X" Z# E但是我强调关于附加数据可叠加使用的目的是另一个，就是配合附加数据“9”来使用的另一个附加数据“6”
; V. ?/ @$ H9 K8 m, N( w- v我们之前说过了，关于进程的“基地址”或者“特征地址”的查询和添加方法，如果一个进程被定义好了基地址，那么对这个进程做的搜索个控件地址控制操作都是以这个基地址为前提的，那么有些游戏，比如模拟器，大多数游戏的大多数数据都有一个固定的“基地址”，一般情况下只需要添加好了这个基地址就可以解决了，但是少数游戏的数据并不受这个绝大多数基地址的控制，而是另一个基地址，那么对这少部分数据我不需要按照这个进程所对应的基地址进行寻址，而想使用Windows下的一般进程的指针寻址，那么对于这种已经添加了基地址的进程，控件想要使用一般寻址来调用指针的话，则需要在把附加数据“9”和附加数据“6”一起用，格式一般为：6|9(指针)，附加数据“6”后面没有参数，仅仅表示这个控件的寻址不受进程基地址的限制，而使用绝对指针寻址

$ z1 a8 |* y! w: [9 U
, x' r" _+ y5 v' S
9 S+ L7 n" M& w, l$ n* f上图是NDS游戏《光与影的英雄》的修改器，对应的DeSmuME模拟器，该模拟器已经添加好了特征码，95%的游戏都可以使用这个特征码进行相对偏移地址的寻址，但是《光与影的英雄》这个游戏就是特例，部分数据不使用通用的那个基地址，于是我想在不改变DeSmuME.exe的进程的通用基地址的情况下，单独定义这个游戏的一些数据的基地址，就可以采用上图中的那种附加数据的调用方式
( ]" w4 f6 S/ J# h

孤独逍遥

制作教程辛苦了

money_114

讀完了, 對基地址的查詢大致是理解的
8 Q  s+ \5 n7 I. p0 x" V! I9 R& ]主要是卡在了CheatEngine的使用方面和對ebx那些東西的具體含義的理解上

JhonnyFox

高手，好东西先收藏了

5252

制作教程辛苦了

xianwenge

谢谢楼主的分享，学习了

condottiere

银河漫步 发表于 2011-9-30 21:49
5 A" x9 b5 ?$ j0 |指针型数据的使用
: U+ \/ t9 u1 N! A# k9 ~. f. B/ C. U
　　上述关于基地址的概念其实就是指针，笔者之所以拿模拟器来举例子是因为基地址的应 ...

/ P1 f1 L; J( W现在为几个游戏的遇敌率烦心呢，，
8 ^% W2 F$ V) }+ }$ A7 W说说RPG的遇敌率怎样调整，主要只 绝对不遇敌和绝对遇敌 （口袋妖怪情况特殊啊）

ajaxzhou2633

收藏。。。
$ i/ a" K& t* q4 Z8 b( u- k话说三国志3修改器很好用的说。。。一堆没年龄的家伙也可以出来显摆了。。。

FZWAMN1985

十分感谢制作这么详细的教程 不过就是还没有实际操作过 可能用一下会好些吧

gundam85

这个值得学习 谢谢LZ分享啊

sdiencelee

ce呀，不知道还有这个！

yukisakura

一直把CE当做金山游侠用的飘过。。。。{:4_100:}