[安全攻防进阶篇] 四.利用内存断点与Hook技术剖析植物大战僵尸无限阳光实现-程序员充电站

1. 从内存修改到断点追踪：理解游戏数据流动

记得第一次用Cheat Engine修改《植物大战僵尸》阳光值时，那种"凭空变出资源"的兴奋感让人上瘾。但简单的内存数值修改有个致命问题——重启游戏或切换场景后，修改就会失效。这促使我开始研究更底层的实现方式：内存断点和Hook技术。

阳光值在游戏中本质是个动态变量，它的变化遵循特定逻辑。比如点击阳光掉落物时数值增加，种植植物时数值减少。通过设置内存写入断点，可以精准捕获是哪段程序代码在修改这个内存地址。具体操作中，先用Cheat Engine找到阳光值的地址，然后在调试器（比如x64dbg）中对这个地址下"写入断点"。当游戏试图修改阳光值时，调试器就会暂停执行，并定位到正在修改内存的汇编指令。

我曾在实际调试中发现，阳光值更新逻辑集中在游戏主模块的某个函数中。这个函数内部会先读取当前阳光值，然后根据操作类型（增加或减少）进行算术运算，最后写回内存。理解这个流程后，我们就能找到最合适的代码注入点。

2. 逆向分析关键函数：定位阳光更新逻辑

2.1 动态调试实战

用x64dbg附加游戏进程后，按照以下步骤操作：

在游戏中收集一个阳光，记录阳光值变化
对阳光值地址下硬件写入断点
游戏中断后，观察调用堆栈

这时候会看到类似这样的调用链：

Game.exe+1A3F20 -> 阳光更新函数 Game.exe+2B8100 -> 游戏主循环

关键函数通常具有明显的特征参数，比如接收"变化量"作为输入。在反汇编窗口中，你会看到类似这样的指令序列：

mov ecx, [阳光值地址] ; 读取当前值 add ecx, eax ; 增加EAX寄存器中的变化量 mov [阳光值地址], ecx ; 写回新值 cmp ecx, 9999 ; 检查上限

2.2 识别逻辑漏洞

有趣的是，很多游戏不会严格验证数值变化是否合理。在某个版本中，我发现只要把add ecx, eax改成mov ecx, 9999，就能实现阳光锁定。但这种粗暴修改容易引发异常，更好的做法是在函数入口处Hook，直接修改传入的EAX值。

3. 编写稳定Hook：拦截游戏逻辑

3.1 选择Hook方案

相比直接修改指令，Detours Hook技术更隐蔽稳定。基本原理是重定向函数调用到我们的代码，处理后再跳回原函数。以下是典型实现步骤：

分配可执行内存区域
写入跳转指令到我们的处理函数
修改原函数头部的跳转指令

用C++实现的简化代码示例：

// Hook函数原型 typedef int (__fastcall *SunUpdateFunc)(int delta); // 我们的处理函数 int __fastcall HookedSunUpdate(int delta) { // 强制将变化量设为+999 return originalSunUpdate(999); } // 安装Hook void InstallHook() { SunUpdateFunc target = (SunUpdateFunc)0x0041A3F20; DetourTransactionBegin(); DetourUpdateThread(GetCurrentThread()); DetourAttach(&(PVOID&)target, HookedSunUpdate); DetourTransactionCommit(); }

3.2 异常处理要点

在实际项目中，我遇到过几个常见问题：

线程安全问题：游戏可能在不同线程调用阳光更新函数，需要加临界区保护
数值溢出：即使修改了变化量，游戏可能还有二次校验
反作弊检测：某些版本会检查代码段完整性

解决方案是：

在Hook函数中维持合理的数值变化（比如每次+50）
只修改逻辑不修改代码段
使用VEH异常处理来捕获潜在崩溃

4. 构建完整辅助模块

4.1 动态地址定位

游戏更新后，函数地址可能会变。可靠的解决方案是：

通过特征码搜索定位关键函数
解析PE导出表找到调用关系
使用指针扫描追踪多层偏移

这是我常用的特征码搜索代码：

DWORD FindPattern(const char* module, const char* pattern) { MODULEINFO info = {0}; GetModuleInformation(GetCurrentProcess(), GetModuleHandle(module), &info, sizeof(info)); const char* pat = pattern; DWORD firstMatch = 0; for (DWORD pCur = (DWORD)info.lpBaseOfDll; pCur < (DWORD)info.lpBaseOfDll + info.SizeOfImage; ++pCur) { if (!*pat) return firstMatch; if (*(BYTE*)pat == '\?' || *(BYTE*)pCur == ((pat[0] == '\\x') ? strtol(pat, NULL, 16) : *(BYTE*)pat)) { if (!firstMatch) firstMatch = pCur; pat += (*(WORD*)pat == '\\x\\x') ? 2 : (*(BYTE*)pat == '\\x') ? 3 : 1; } else { pat = pattern; firstMatch = 0; } } return 0; }