游戏训练者如何更改内存中的动态地址？

Question

假设我是一个游戏，并且我有一个包含我的健康状况的全局 int* 。游戏训练师的工作是将这个值修改为任意值以实现上帝模式。我查阅了游戏训练器的教程来了解它们是如何工作的，总体思路是使用内存扫描器来尝试找到某个值的地址。然后通过注入dll或者其他什么的方式修改这个地址。

但我用全局 int* 制作了一个简单的程序，每次运行应用程序时它的地址都会发生变化，所以我不明白游戏训练者如何对这些地址进行硬编码？或者我的例子是错误的？

我缺少什么？

Answer 1

通常完成此操作的方法是跟踪从静态变量到包含相关变量的堆地址的指针链。例如：

struct CharacterStats
{
    int health;
    // ...
}

class Character
{
public:
    CharacterStats* stats;

    // ...

    void hit(int damage)
    {
        stats->health -= damage;
        if (stats->health <= 0)
            die();
    }
}


class Game
{
public:
    Character* main_character;
    vector<Character*> enemies;
    // ...
}

Game* game;

void main()
{
    game = new Game();
    game->main_character = new Character();
    game->main_character->stats = new CharacterStats;

    // ...

}

在这种情况下，如果您遵循 mikek3332002 的建议，在 Character::hit() 函数内设置断点并 nop 执行减法，则将导致所有角色（包括敌人）无懈可击。解决方案是找到“game”变量的地址（它应该驻留在数据段或函数的堆栈中），并跟踪所有指针，直到找到 health 变量的地址。

某些工具（例如 Cheat Engine）具有自动执行此操作的功能，并尝试自行查找指针链。不过，对于更复杂的情况，您可能不得不诉诸逆向工程。

Answer 2

访问指针的发现相当麻烦，并且静态内存值很难适应不同的编译器或游戏版本。

对于 malloc()、free() 等 API 挂钩，有一种与跟随指针不同的方法。发现从记录所有动态内存分配并并行执行内存搜索开始。然后将找到的堆内存地址与记录的内存分配进行反向匹配。您可以了解对象的大小以及对象内值的偏移量。您可以通过回溯重复此操作，并获取 malloc() 调用或 C++ 构造函数的跳回代码地址。有了这些信息，您可以跟踪和修改从那里分配的所有对象。您转储对象并比较它们，并发现更多有趣的值。例如，通用精英游戏训练器“ugtrain”在 Linux 上就是这样做的。它使用LD_PRELOAD。
适应通过基于“objdump -D”的反汇编进行，并且仅搜索其中具有已知内存大小的库函数调用。

请参阅：http://en.wikipedia.org/wiki/Trainer_%28games%29

Ugtrain 来源： https://github.com/sriemer/ugtrain

malloc() 钩子看起来像this：

static __thread bool no_hook = false;

void *malloc (size_t size)
{
    void *mem_addr;
    static void *(*orig_malloc)(size_t size) = NULL;

    /* handle malloc() recursion correctly */
    if (no_hook)
        return orig_malloc(size);

    /* get the libc malloc function */
    no_hook = true;
    if (!orig_malloc)
        *(void **) (&orig_malloc) = dlsym(RTLD_NEXT, "malloc");

    mem_addr = orig_malloc(size);

    /* real magic -> backtrace and send out spied information */
    postprocess_malloc(size, mem_addr);
    no_hook = false;

    return mem_addr;
}

但是如果找到的内存地址位于内存中的可执行文件或库中，则 ASLR 可能是动态的原因。在 Linux 上，库是 PIC（与位置无关的代码），并且在最新发行版中，所有可执行文件都是 PIE（与位置无关的可执行文件）。

Answer 3

编辑：没关系，这似乎只是运气好，但是指针的最后 3 个数字似乎保持不变。也许这是 ASLR 启动并更改基本映像地址或其他什么？

aaahhhh 我的错，我使用 %d 作为 printf 来打印地址，而不是 %p。使用 %p 之后地址保持不变

#include <stdio.h>

int *something = NULL;

int main()
{
    something = new int;
    *something = 5;

    fprintf(stdout, "Address of something: %p\nValue of something: %d\nPointer Address of something: %p", &something, *something, something);
    getchar();
    return 0;
}

Answer 4

动态分配变量的示例

我想要找到的值是阻止我的生命减少到 0 并游戏结束的生命数。

1. 玩游戏并搜索此实例的 life 变量的位置。
2. 一旦找到，请使用反汇编器/调试器来观察该位置的更改。
3. 失去一条生命。
4. 调试器应该报告发生减量的地址。
5. 用 no-ops 替换该指令

从名为 tsearch 的程序中获取此模式

---

通过研究此主题发现的一些相关网站：

• http://deviedhacking.com/index.php?/topic/75-dynamic-memory-allocation/
• http://www.edgeofnowhere.cc/viewforum.php?f=183
• http://www.oldschoolhack.de/tutorials/Theories%20and%20methods%20of%20code-caves .htm
• http://webcache. googleusercontent.com/search?q=cache:4wzMzFIZx54J:gamehacking.com/forums/tutorials-beginners/11597-c-making-game-trainer.html+reading+a+dynamic+memory+address+game+trainer&cd= 2&hl=en&ct=clnk&gl=au&client=firefox-a（Google 缓存版本）
• http://www.codeproject.com/KB/cpp/codecave.aspx

Answer 5

像 Gameshark 代码这样的事情的计算方式是通过转储应用程序的内存映像，然后做一件事，然后查看发生了什么变化。可能会有一些事情发生变化，但应该寻找一些模式。例如转储内存，射击，转储内存，再次射击，转储内存，重新加载。然后寻找变化并了解弹药的存储位置/方式。对于健康来说，情况会是相似的，但更多的事情将会发生变化（因为你至少会移动）。不过，在最小化“外部影响”时最容易做到这一点，例如，不要在交火期间尝试比较内存转储，因为发生了很多事情，站在熔岩中或从建筑物上掉下来时进行比较，或者具有这种性质的东西。