引言一个手残党的自我救赎作为一个玩《空洞骑士》连第一关boss都要死二十次的手残党我深知“跳跃高度不够”意味着什么——意味着你永远够不到别人轻松上去的平台意味着你总是在敌人面前差那么一点距离。最近我发现新版的 Cheat Engine 多了一个内置的教程游戏Tutorial Games一共三关。前两关都是常规的数值搜索练习轻松拿下。但第三关是一个平台跳跃小游戏——没错就是我最不擅长的类型。于是我决定打不过就逆向它。平台跳跃小游戏目标与困境第三关的游戏很简单主角可以左右移动和跳跃目标是进入右下角的门。但门一开始是上锁的需要把场景中所有红色平台踩成绿色才能解锁。听起来不难问题是平台之间有移动的敌人来回巡逻主角跳跃高度很低不支持二段跳跑得没有敌人快对于高手来说这不过是走位练习。但对于我这种手残党——试了七八次全被敌人撞死。既然游戏不让我好过那我只好让游戏“不好过”了。逆向分析从X轴找到Y轴第一步定位角色坐标做过2D游戏开发的朋友都知道角色的位置由X轴(水平)和Y轴垂直两个浮点数float控制。跳跃的本质就是修改Y轴坐标。但Y轴在跳跃过程中变化太快直接用CE搜索很麻烦。我的经验是大多数游戏中Y轴坐标的内存地址就在X轴地址附近。所以我们可以先找X轴——左右移动角色时X轴会持续变化搜索起来轻松得多。操作步骤用 Cheat Engine 附加游戏进程扫描类型选择浮点数float左右移动角色反复搜索“变化的数值”经过几轮筛选最终锁定X轴地址找到X轴地址后在内存查看器中查看附近的内存区域——果然Y轴坐标就在4字节的偏移位置。第二步找到修改Y轴的指令右键点击Y轴地址选择“找出是什么改写了这个地址”然后让角色跳一下。CE 捕获到了写入指令gtutorial-x86_64.exe43B69 - F3 44 0F11 48 28 - movss [rax28],xmm9这条指令的意思是将 xmm9 寄存器的值写入 [rax28]而这个地址正是Y轴坐标。但光看汇编不够直观——我们需要理解这段逻辑的全貌。这时候就该IDA Pro出场了。第三步用IDA反编译看懂跳跃逻辑打开 IDA Pro加载游戏 exe跳转到 0x100043B69 这个地址然后按下F5反编译。原本晦涩的汇编变成了清晰的 C 伪代码// 关键代码片段 *(_QWORD *)(a1 104) a3; y_axis *(float *)(*(_QWORD *)(a1 40) 40LL); v6 y_axis - (double)a3 / 1000.0 * *(float *)(a1 120);变量含义v5当前Y轴坐标a3传入的参数可能是速度或力度1000.0一个固定除数a1 0x120一个倍率参数暂时未知这个公式翻译成人话就是新Y坐标 (旧Y坐标 - 参数/1000) × 倍率我们的目标是让角色跳得更高也就是让“新Y坐标”变得更大。有三种改法改 a3变大 → 减得更多 → 跳得更高改 1000改小 → 除以更小的数 → 跳跃幅度变大✅最简单改 a10x120 的值目前未知暂不动第四步实战修改——将1000改成300从 IDA 中可以看到1000 这个值来自一个全局静态变量divsd xmm0, cs:qword_1002B4E60这个 qword_1002B4E60 的地址是固定的我们直接用Cheat Engine查看这个地址的值将其修改为500回到游戏跳一下——明显高了。再改成300——成功了现在我可以轻松踩完所有平台。结果你以为这就完了我把所有平台踩绿了门也开了。然后我发现——敌人堵在门口。这游戏的作者显然预料到了玩家会修改跳跃高度专门设计了这个“物理拦截”。这难不倒我们因为我们已经解锁了X轴修改能力——我直接把自己瞬移进门。过关。总结与思考这次逆向分析我们完成了步骤工具目标① 定位X轴坐标Cheat Engine找到角色水平位置② 推导Y轴地址内存查看器利用内存布局找到垂直位置③ 捕获写入指令CE 断点找到修改Y轴的代码④ 反编译分析IDA Pro理解跳跃计算公式⑤ 修改全局变量CE将除数从1000改为300⑥ 最终过关CE X轴瞬移突破敌人封锁核心收获利用内存布局X轴和Y轴相邻可以快速定位未知数据IDA Pro 的 F5 反编译功能是理解汇编逻辑的利器修改一个全局常量1000 → 300就能产生质的飞跃逆向分析的乐趣在于【加粗】规则由你制定【加粗结束】下期预告这次我们改的是“跳跃高度”下次我打算挑战更复杂的修改——《修改空洞骑士突破12格护符槽限制实现“全都要”》如果你也喜欢这种游戏逆向的内容欢迎在评论区告诉我你最想修改哪款游戏的什么设定说不定下一个教程就是为你量身定制的。感谢阅读我们下期见