实训目标与环境准备
🎯实训目标
通过本次实训，你将掌握使用 Cheat Engine 进行游戏内存搜索与修改的核心技术：
- 理解内存搜索的基本原理：首次扫描与再次扫描的区别
- 掌握已知数值（如阳光值）的查找与修改方法
- 掌握未知初始值（如冷却计时器）的查找技巧
- 能够通过修改内存值绕过游戏冷却机制
- 学会浏览内存区域查找关联数据
🛠环境准备
| 软件/工具 | 说明 |
|---|---|
| Cheat Engine | 开源内存扫描与调试工具，本实训核心工具 |
| 植物大战僵尸 (PvZ) | 目标游戏，用于演示内存修改 |
| 浏览器 | 访问参考教程：cmd.goodstudy.fun |
Cheat Engine 是合法调试工具，但仅限在单机游戏和个人学习环境中使用。请勿在网络游戏或他人设备上使用内存修改技术，这可能违反服务条款或法律。
Cheat Engine 基础认知
🔍什么是 Cheat Engine？
Cheat Engine（简称 CE）是一款开源的调试器，其最强大的功能在于内存搜索——能够扫描目标进程的内存空间，查找特定的数值，并对其进行修改。
CE 的核心能力是在搜索结果的基础上再次搜索：你不需要一次就找到目标地址，而是通过多次筛选逐步缩小范围，最终精确定位。
📋CE 工作流程
- 附加进程：启动 CE，选择目标程序（如 plantsvszombies.exe）
- 首次扫描：输入已知值或选"未知初始值"，扫描全部内存
- 再次扫描：在上一轮结果中，按数值变化（变大/变小/不变）继续筛选
- 重复筛选：多次"再次扫描"直到结果数量可控（通常几十个以内）
- 验证修改：将找到的地址加入列表，修改数值验证效果
CE 的"再次扫描"(Next Scan) 是在上一次的扫描结果集中搜索，而非重新扫描整个内存。这就像在"男生"中找"戴眼镜的男生"，而不是回到全体学生中重新找。
内存搜索核心概念：首次扫描与再次扫描
👥类比理解：从班级中找人
假设你要从全体学生中，找出「男、戴眼镜、身高超过 1 米 7」的同学：
| 步骤 | 搜索范围 | 条件 | 操作类型 |
|---|---|---|---|
| 第 1 步 | 全体学生 | 男生 | 首次扫描 |
| 第 2 步 | 男生群体 | 戴眼镜 | 再次扫描 |
| 第 3 步 | 眼镜男群体 | 身高 > 1.7m | 再次扫描 |
最终从全体中逐步筛选出"1 米 7 眼镜男"，这就是 CE 内存搜索的核心逻辑。
🚫常见错误：误点"首次扫描"
如果在第 2 步不小心选成了首次扫描（而不是再次扫描），会发生什么？
你不会在"男生"范围内搜索"戴眼镜"，而是从全体学生中重新搜索"戴眼镜"的同学——也就是说，结果里会包含戴眼镜的女生。前面的筛选成果全部丢失！
这在 CE 中意味着：你又回到了全部内存空间搜索，之前通过条件筛选出的结果集合被废弃了。
每次扫描前务必确认：当前需要的是「首次扫描」(First Scan) 还是「再次扫描」(Next Scan)。一旦选错，前面的筛选结果将全部丢失，必须从头开始。
阳光值查找实践
☀️查找阳光值
阳光是植物大战僵尸中的已知数值资源。这是 CE 入门最经典的练习，因为你可以直接在界面上看到当前的阳光数量。
📝操作步骤
- 打开植物大战僵尸，进入任意关卡，记下当前阳光值（如 150）
- 打开 CE，点击左上角电脑图标，选择
plantsvszombies.exe进程 - 在 Value 框输入当前阳光值，Scan Type 选 "Exact Value"，Value Type 选 "4 Bytes"
- 点击 First Scan（首次扫描），等待结果
- 回到游戏，种植植物消耗阳光（如从 150 变成 100）
- 在 CE 中输入新阳光值 100，点击 Next Scan（再次扫描）
- 重复"改变阳光 → 再次扫描"直到左侧结果仅剩 1~2 个地址
- 双击结果地址加入下方列表，双击 Value 列修改数值（如改为 9999）
- 回到游戏，确认阳光值已被修改
成功修改阳光值为 9999 后，游戏内的阳光显示会立即更新，你可以不限制地种植植物。
冷却值查找原理
🧊冷却机制与内存
游戏中每个植物槽位都有独立的冷却时间。种下植物后槽位变暗，需要等待一段时间才能再次种植。
与阳光值不同，冷却值有两大难点：
- 初始值未知：你并不清楚冷却计时器从什么值开始
- 值是连续变化的：冷却过程中值在不断递增（或递减）
- 每个槽位独立：每个槽位的冷却值有自己独立的内存地址和控制逻辑
图：冷却值查找原理示意图
阳光值查找是"已知精确值 → 变化后精确值"，而冷却值查找是"未知初始值 → 观察变化趋势"。两者的扫描类型选择（Scan Type）完全不同。
模拟算法解析
🧵双线程冷却模型
冷却机制在代码层面由两个关键变量控制：
- iTimer — 计时器变量，4 字节（int 类型）的内存罐子
- bOK — 冷却完成标志，1 字节（bool 类型）的内存罐子
两个线程协同工作：
📟线程 1：计时器递增逻辑
🖥线程 2：界面刷新逻辑
线程1负责计时：iTimer 从 0 递增到 768，到达后将 bOK 设为 true 并重置 iTimer。线程2负责界面：不断检查 bOK 的值来决定槽位是亮（可种植）还是暗（冷却中）。
修改冷却值的两种思路
💡思路 1：固定 bOK 的值
找到 bOK 的内存罐子（1 字节），将其值固定为 1（true）。
效果：界面槽位始终认为冷却已完成，植物永远可种。
分析：这是一种"欺骗界面"的做法——计时器仍在跑，但界面不再等它。
🔧思路 2：固定 iTimer 的值
找到 iTimer 的内存罐子（4 字节），将其值固定为 999（大于 768）。
效果：线程 1 的条件 iTimer >= 768 永远成立，bOK 始终为 true。
分析：这是从源头解决问题——让计时器永远处于"已完成"状态。
思路 1 直接修改结果（bOK），简单但可能被其他逻辑覆盖。思路 2 修改根源（iTimer），更稳定但需要找到正确的计时器地址。两种思路都值得尝试。
iTimer 变化规律
📊槽位状态与 iTimer 值对照
理解 iTimer 在不同游戏状态下的变化规律，是正确设置 CE 扫描条件的关键：
| 界面槽位状态 | 槽位 iTimer 值 | 说明 |
|---|---|---|
| 亮着，没种 | 0 | 冷却初始值，准备就绪 |
| 亮着，没种 | 0 | 同上，空闲等待 |
| 种下，不亮，在冷却 | 1, 2, 3, ... | 计时器递增中 |
| 种下，不亮，在冷却 | 500 多 | 冷却中后期 |
| 种下，不亮，在冷却 | 600 多 | 接近冷却完成 |
| 种下，不亮 → 变亮 | 768 → 立刻变 0 | 冷却完成，bOK=true，iTimer 重置 |
📈iTimer 变化规律总结
- 种下植物后，iTimer 从 0 开始 持续 +1 递增
- 当 iTimer 达到 768 时冷却完成，bOK 设为 true
- 冷却完成的瞬间 iTimer 被重置为 0
- 每个槽位的初始值和完成值可能不同，此处 0 和 768 仅为举例
由于不知道初始值，扫描时应使用 Scan Type 的 "Unknown initial value"（未知初始值），然后在冷却过程中根据值的变化选择 "Increased value"（增长的数值）或 "Changed value"（变动的数值）。
常见易错点详解
🔁扫描类型选择流程
查找冷却值时，扫描类型的选择顺序至关重要。以下是正确的操作流程：
| 步骤 | CE 操作 | Scan Type | 原因 |
|---|---|---|---|
| 1 | 首次扫描 | Unknown initial value | 我们不知道 iTimer 从什么值开始 |
| 2 | 再次扫描 | Changed value（变动的数值） | 进入冷却后值在持续变化 |
| 3 | 再次扫描 | Changed value | 继续观察，值仍在变动 |
| 4 | 再次扫描 | Unchanged value（未变动的数值） | 冷却完成时值稳定（为 0） |
图 1：首次扫描 - 未知的初始值
图 2：再次扫描 - 变动的数值
图 3：再次扫描 - 继续筛选变动的数值
图 4：再次扫描 - 未变动的数值（冷却空档期）
在需要"再次扫描"时误点"首次扫描"！这会导致之前所有的筛选结果被清空，必须从头开始。请始终在操作前检查 CE 界面上显示的是 First Scan 还是 Next Scan。
查找其他槽位的冷却值
🔎浏览附近内存
当你找到一个槽位的冷却值地址后，其他槽位的冷却值通常存储在附近的内存区域。这是因为程序通常用数组或连续结构体来管理同类型的槽位数据。
操作方法是：浏览第一个槽位冷却值附近的内存单元。
📝操作步骤
- 在 CE 下方地址列表中，右键已找到的冷却值地址
- 选择 "Browse this memory region"（浏览内存区域）
- 在 Memory Viewer 中观察附近的数据分布
- 寻找与已知冷却值结构相似的相邻数据块
- 将可疑地址加入列表，在游戏中验证（分别触发不同槽位冷却）
如果数据结构是连续排列的（如 struct 数组），相邻槽位的冷却值地址之差（偏移量）是固定的。一旦找到这个偏移量规律，就能快速定位所有槽位。
实战操作演示
🎮完整操作流程
以下截图展示了 Cheat Engine 在植物大战僵尸中的实际使用过程。请仔细观察每张图中的操作细节。
图 5：CE 实战操作界面 1
图 6：CE 实战操作界面 2
图 7：CE 实战操作界面 3
图 8：CE 实战操作界面 4
图 9：CE 实战操作界面 5
注意截图中 CE 的 Scan Type 选择、Value 输入、搜索结果数量变化，以及地址列表的变化。
总结与思考
📋核心知识点回顾
| 知识点 | 要点 |
|---|---|
| 首次扫描 vs 再次扫描 | 首次扫描搜索全部内存；再次扫描仅在上次结果中筛选 |
| 已知值扫描 | 适用于阳光等可见数值，使用 Exact Value + 精确值 |
| 未知值扫描 | 适用于冷却计时器等未知初始值，使用 Unknown initial value |
| 内存模型 | iTimer (4字节 int) + bOK (1字节 bool) 控制冷却 |
| 修改策略 | 可直接固定 bOK=1，也可固定 iTimer 为超大值 |
| 浏览内存 | 找到首个地址后，浏览附近内存可发现关联数据 |
🤔思考题
- 如果冷却值不是递增而是递减的，扫描时应该选择什么 Scan Type？
- 为什么找到的地址在重启游戏后会失效？这与什么概念有关？（提示：动态内存分配）
- 如果要实现"种植物不消耗阳光"，除了修改阳光值，还有什么更优雅的方案？
- 如何通过 CE 的"找出是什么改写了这个地址"功能找到修改冷却值的汇编指令？
恭喜你完成了 Cheat Engine 内存搜索与修改实战！你已掌握了从已知值查找、未知值搜索、内存修改到多槽位定位的完整技能链。