你肯定见过这样的场景一个游戏里角色的血量明明显示是“100”但用内存修改工具搜这个值却死活搜不到。或者你费劲找到了一个地址改了个很大的数结果游戏直接崩溃或者数值变成了一个诡异的负数。这不是游戏在跟你玩捉迷藏而是你很可能掉进了“带符号整数”和“内存大小”这两个最基础也最容易让人翻车的坑里。在C逆向尤其是游戏外挂的初级探索中很多人一上来就急着找基址、写Call、搞注入却常常在第一步——理解数据在内存中到底长什么样——就栽了跟头。int、unsigned int、short、char这些看似简单的类型配合上sizeof这个运算符直接决定了你在CECheat Engine、ODOllyDbg或x64dbg里应该用什么姿势去搜索和修改。不理解它们你的逆向之路就像在黑暗中摸索碰壁是常态。这篇文章不会教你高深的反汇编技巧或复杂的Hook技术我们就解决一个最实际的问题如何准确理解游戏内存中的数值并确保你的修改是安全有效的关键在于吃透带符号整数类型和sizeof运算符。这不仅是C的基础更是逆向工程中“看”懂内存的必备显微镜。1. 为什么“看到的”和“搜到的”不一样—— 带符号整数的内存陷阱让我们从一个最经典的翻车案例开始。假设你在一个游戏里看到角色金币数是“500”。你兴冲冲地打开CE选择“精确数值”扫描5004字节结果可能一无所获或者地址多如牛毛难以定位。为什么1.1 有符号 vs 无符号同一个比特两种解读在C中int默认是**有符号signed**的。这意味着它最高位对于32位int是第31位用来表示符号0为正1为负。剩下的位表示数值。而unsigned int则所有位都用来表示正数。关键点来了在内存中一个int变量500和一个unsigned int变量500存储的二进制序列是一模一样的。区别只在于程序以及我们如何去“解释”这一串比特。int value 500;内存存储假设小端序32位0xF4 0x01 0x00 0x00(十六进制0x000001F4)。unsigned int value 500;内存存储完全一样0xF4 0x01 0x00 0x00。问题出在“解释”上。如果你告诉CE用“4字节”扫描它默认通常是按有符号整数去匹配内存值的。这大多数时候没问题。但真正的麻烦在于边界值和负数。1.2 负数的补码表示与逆向搜索这是逆向中最容易迷惑人的地方。假设游戏里某个状态值可能是负数比如“健康度”在受伤后变为“-10”。这个-10在内存中并不是直接存一个负号加10。计算机用补码存储负数。对于一个32位有符号整数int-10的绝对值的二进制100x0000000A。按位取反0xFFFFFFF5。加1得到0xFFFFFFF6。所以int health -10;在内存中小端序存储为0xF6 0xFF 0xFF 0xFF。现在如果你在游戏UI上看到-10但在CE里直接搜-104字节CE会帮你做这个转换去匹配0xFFFFFFF6。但如果你搜的是10或者游戏实际用的是unsigned int但逻辑上表现了负值这属于设计缺陷你就永远搜不到。更常见的情况是游戏用了一个short2字节或char1字节来表示小范围的数值比如背包格子索引。如果你错误地用4字节去搜不仅找不到还会被海量的错误地址淹没。逆向经验当精确数值搜不到时第一个要怀疑的就是数据类型和扫描长度。尝试切换“所有类型”扫描或者分别用1、2、4字节有符号/无符号去尝试。对于变化的值使用“变动的数值”“增加的数值”等模糊扫描方式再结合类型变化观察。2.sizeof你的内存测量尺与逆向导航仪sizeof在C中是一个运算符用于获取类型或对象在内存中所占的字节数。在正向开发中它常用于数组计算和内存操作。在逆向中它是你理解数据布局、计算偏移、猜测结构体的核心工具。2.1sizeof的基本规则与逆向推断int a; short b; char c; struct Player { int health; short level; char name[20]; }; cout sizeof(a); // 通常是 4 (字节) cout sizeof(b); // 通常是 2 cout sizeof(c); // 一定是 1 cout sizeof(Player); // 可能是 28 (4 2 20但要注意内存对齐)在逆向时你面对的是一堆十六进制的内存数据。sizeof的知识能帮你做出关键推断识别数组或缓冲区如果你在内存中看到一连串的int值每个4字节这很可能是一个int数组。数组的起始地址和元素类型通过sizeof推断能帮你定位遍历逻辑。计算结构体偏移假设你找到了玩家的基址并且知道health在偏移0x0的位置是4字节的int。你观察到level在偏移0x4的位置是2字节的short。那么下一个字段很可能从0x6开始但编译器可能会进行内存对齐在short后面插入2字节的填充padding让下一个int从4的倍数地址开始。所以实际偏移可能是0x8。理解sizeof和对齐规则能让你更准确地画出内存结构图。区分指针和实例sizeof(指针)在32位程序中是4字节在64位程序中是8字节无论它指向什么。如果你找到一个4字节/8字节的值它指向另一片内存区域那它很可能是一个指针。2.2 逆向中的实战应用定位多维数组与嵌套结构游戏数据往往是复杂的结构。比如一个玩家对象(Player)包含一个背包(Bag)背包里又是一个物品指针数组(Item* array[100])。通过sizeof(Player)你可以估算玩家对象的大小。通过sizeof(Bag)你知道背包在玩家对象中的偏移范围。通过sizeof(Item*)你知道背包里每个指针元素占4或8字节从而计算出第N个物品指针的地址背包基址 N * sizeof(Item*)。在内存修改工具中你可以利用这个知识来手动添加指针地址。例如如果你找到了背包基址0x12345678物品数组首地址偏移是0x30每个指针4字节那么第5个物品的地址可能就是[0x12345678 0x30] (5-1)*4。这里的4就是sizeof(Item*)在32位程序中的值。排查链路当修改后游戏崩溃或数据错乱检查类型是否匹配你修改的内存区域原程序是用int还是unsigned int读的改成极大正数如0x7FFFFFFF如果被当作有符号数解读是合法的但如果被当作unsigned int值会非常大。反之如果你按unsigned int写了一个超过0x7FFFFFFF的数被当作int读就会变成负数。检查长度是否溢出你是否只改了4字节中的一部分比如原本是4字节int你只改了低2字节高2字节残留旧数据组合起来就是一个错误的值。检查是否越界访问你计算出的地址是否通过sizeof正确考虑了结构体大小和数组边界写到了相邻的其他变量上会导致不可预知的崩溃。3. 从理论到CE在内存编辑器中验证与操作理解了原理我们必须在工具中实践。以Cheat Engine为例。3.1 扫描策略如何设置正确的类型和大小首次扫描精确值情况A已知UI值如果游戏UI明确显示“500”先尝试“4字节”扫描。如果结果太多或没有尝试“2字节”short和“1字节”char或byte。别忘了勾选“十六进制”选项如果你怀疑值是内存地址或标志位。情况B未知或变化值使用“未知初始值”然后根据数值变化增加/减少选择“变动的数值”或“增加的数值”等扫描方式。这时sizeof的知识帮助你选择正确的“数值类型”是Byte、2 Bytes、4 Bytes、8 Bytes还是Float/Double选错类型扫描会失效。指针扫描与偏移计算 当你找到一个动态地址每次重启游戏都变需要找到指向它的静态指针。CE的“找出是什么改写了这个地址”和“找出是什么访问了这个地址”功能是神器。分析出来的汇编指令常常会包含类似[esi0x10]这样的偏移。这里的0x10就是相对于esi寄存器所指向基址的偏移量。你需要结合上下文猜测[esi]处结构体的大小0x10这个偏移很可能就是某个字段比如mana的位置。如果mana是int那么sizeof(int)4下一个字段可能从0x14开始。3.2 手动修改与冻结注意数据宽度在CE的内存查看窗口右键点击地址选择“浏览相关内存区域”。你可以直接看到原始的字节序列。假设地址0x12345678处是玩家的血量你判断它是4字节有符号int当前值是100(0x64 0x00 0x00 0x00)。你想改成9999。9999的十六进制是0x0000270F。在小端序机器上你需要写入的字节序列是0x0F 0x27 0x00 0x00。关键操作在CE的地址列表里双击“类型”列可以更改该地址的解析方式。如果你发现改成4 Bytes后值不对可以尝试2 Bytes或Float。冻结一个地址时CE会按照你设定的类型和宽度持续写入值确保你设定的类型是正确的否则会破坏相邻内存。4. 构建逆向思维框架数据类型与内存分析清单把上面的知识沉淀成一个可操作的排查框架当你面对一个陌生的游戏内存时可以按以下顺序建立认知4.1 第一步观察与假设UI显示数值的范围和变化幅度是多少是整数还是小数决定用整数类型还是浮点类型扫描初步扫描用“所有类型”或分别用1、2、4字节进行精确值/模糊值扫描。4.2 第二步定位与验证找到地址通过数值变化锁定少数几个或一个地址。验证类型手动修改该地址的值比如改成50000观察游戏内数值变化。如果游戏内显示异常如变成负数或很小说明类型或符号判断错误。在内存查看器中观察该地址附近的数据布局。是否有规律的可读字符串可能是char数组是否有连续类似的4字节值可能是int数组这帮助你推测它所属的结构体。确定大小通过“找出访问/改写”功能看汇编指令中使用的数据宽度指令如MOV DWORD PTR [eax]是4字节MOV WORD PTR [eax]是2字节。4.3 第三步深入与关联计算偏移如果找到了基址和多个相关变量血量、魔法、坐标等记录它们的偏移。利用sizeof概念检查偏移间隔是否合理如两个int变量偏移相差4中间可能没有填充相差8则可能有填充或其他小字段。绘制结构图用注释或草图画出你推测的内存结构包括字段偏移、类型、大小。这是后续写外部DLL或内部Hook的基础。4.4 第四步修改与边界检查安全修改修改前先备份原始内存。修改时使用正确的数据类型和宽度。边界意识不要随意写入超出合理范围的值如将血量改为0xFFFFFFFF。某些游戏有反作弊检测异常数值会触发封禁。尽量模拟游戏正常逻辑产生的数值范围。指针链验证对于多层指针每层偏移都要结合sizeof来理解。例如[[基址 0x10] 0x20] 0x0C每个后面的偏移都对应着某一层结构体内部的字段位置。回到开头的问题为什么搜“500”搜不到现在你有了系统的排查思路可能是short类型的500内存中存为0xF4 0x01你用4字节搜0xF4 0x01 0x00 0x00自然对不上也可能是无符号数但扫描选项是有符号甚至它可能根本不是整数而是一个被缩放了的float比如实际内存存的是500.0f的浮点表示0x43FA0000。掌握带符号整数和sizeof并不能让你立刻写出功能强大的外挂但它能确保你在逆向的起点——内存分析上走得稳、看得准。它解决的是“看到的是什么”和“该怎么改”的根本问题。跳过这一步所有高级技巧都如同建立在流沙之上。当你下次再打开内存扫描工具时不妨先花一分钟想想这个值在程序的眼里究竟是何模样
尧图网络