最近在整理 U3DUnity 3D游戏相关的内存结构分析笔记时很多读者私信问我同一个问题网上讲“改血量”的简单教程很多但一碰到“数组”“坐标”就全懵了不知道怎样才能从一串内存地址里把多个对象的数据完整提取出来。这篇文章不教你做外挂而是从游戏逆向的学习角度出发拆解一条完整的逆向链路从血量数值入手定位目标对象分析存储结构识别对象数组再把坐标数据从内存中按偏移读取出来。整个过程会涵盖 Cheat Engine 扫描、指令定位、指针偏移、数组遍历、坐标读取和外部程序编写适合对游戏内存分析感兴趣的开发者、安全方向初学者以及想深入理解 Unity 内部对象布局的读者。1. 背景与核心概念1.1 U3D 是什么U3D 是 Unity 3D 的简称是目前使用最广泛的游戏引擎之一。Unity 开发的项目通常使用 C# 编写游戏逻辑底层引擎由 C 实现游戏内的 GameObject游戏对象、Component组件、Transform变换等核心类都有一套固定的内存布局。理解 U3D 的内存结构有一个核心前提游戏对象在运行时并不是凭空存在的它会被分配在一块连续或不连续的内存中。对象内部包含各种字段例如血量Health、坐标Position、名称、状态等每一个字段都有自己的内存偏移量Offset。1.2 血量逆向是什么意思简单来说“血量逆向”就是通过内存分析的手段在游戏运行时找到血量HP这个数值在进程内存中的存储位置进而通过修改或读取该位置来实现对游戏数据的掌控。初学者最容易形成的误解是血量就是一个单独的变量找到它就行了。实际上几乎没有任何一款真实游戏会为每一个敌人的血量单独声明一个全局变量。更常见的设计是有一个角色类Player或Enemy内部包含int health。场景里有多个敌人程序会用一个数组或列表来管理它们。血量只是对象数组里每个元素内部的一个字段。所以从“血量”这一个点出发我们要做的是顺藤摸瓜摸到对象数组的基址再根据元素大小和字段偏移读取同一个结构下的其他数据——比如坐标。1.3 数组、指针与坐标的关系数组在内存中是一段连续的区域。比如一个Enemy[] enemies数组它在内存里表现为一连串相同大小的对象实例排列。每个 Enemy 实例内部有固定布局Enemy 实例第 i 个 ├── 血量字段偏移 0x3C ├── 名字字段偏移 0x50 ├── Transform 指针偏移 0x70 └── 其他字段……坐标通常不是 Enemy 类直接内嵌的字段而是通过 Transform 组件保存的。Unity 内部每个 GameObject 都有一个 Transform它包含m_LocalPosition、m_LocalRotation、m_LocalScale等属性。坐标数据在内存中本质上是一个 Vector3 结构体由三个连续的 4 字节 float 组成X偏移 0Y偏移 4Z偏移 8因此一个完整的逆向数据链路可以概括为血量数值地址 → 所属对象 (Enemy) 地址 → 对象数组基址 → Transform 指针 → Vector3 坐标下面我们就一步步来分析这条链路。2. 环境准备与实验目标2.1 实验环境为了安全、合法地学习建议使用你自己编写或者明确允许本地逆向的 Unity 单机 Demo 作为实验对象。本文示例采用以下环境项目说明操作系统Windows 10/11 64 位目标程序自制 Unity 单机 Demo可运行窗口模式分析工具Cheat Engine 7.x简称 CE开发工具Visual Studio 或者任意 C/C# 编译器编程语言C读取内存示例版本需要根据你的项目实际情况调整本文示例以常见环境为例重点演示配置思路不绑定具体版本号。2.2 最小可实验场景设计建议你用 Unity 创建一个最简单的 3D 场景场景中放置 3 个 Capsule胶囊体作为敌人每个敌人身上挂一个脚本脚本里有public int health 100;同时让每个敌人以不同速度移动。脚本参考如下using UnityEngine; public class Enemy : MonoBehaviour { public int health 100; public float moveSpeed 1f; void Update() { // 敌人沿 X 轴移动用于观察坐标变化 transform.Translate(moveSpeed * Time.deltaTime, 0, 0); } void OnMouseDown() { // 点击敌人时扣血方便在 CE 中制造数值变化 health - 10; } }在这个场景里health是对象内部一个典型的整数字段transform.position是 Unity 提供的世界坐标。场景足够简单但完全覆盖了“血量 → 对象 → 数组 → 坐标”的学习链路。2.3 明确学习边界在做任何实验前先给自己画一道线仅在单机学习环境、自研程序、明确授权的程序中进行分析。本文的目的是理解内存结构、数组布局、坐标表示等底层原理。不做任何破坏网络游戏公平性、绕过安全限制的操作。不读取、不传播任何非授权数据。这一点非常重要。逆向技术的本质是一把工具刀用在 Debug、性能分析、漏洞学习上是技术提升用在违规场景就会变成破坏行为。3. 从血量地址到对象地址逆向链路第一段3.1 用 CE 精确扫描血量数值启动 Unity 游戏把场景中某个敌人的血量设为已知值例如 100。打开 Cheat Engine选择游戏进程然后在 Value 输入框输入100。Scan Type 选择Exact Value。点击 First Scan。第一次扫描结果可能有很多个地址因为游戏里 100 这个值可能出现多次。此时不要急点击场景中的敌人让它扣血血量变为 90回到 CE 输入90点击 Next Scan。重复两到三次后地址列表会收敛到很少的候选地址。最终找到的那个数值跟随血量变化的地址就是该敌人对象health字段的运行时地址。值得说明的是如果游戏启动时血量恢复、随机生成等情况导致数值不固定可以使用Unknown initial value配合Changed value/Unchanged value扫描原理是一样的只是要多花一点时间。3.2 定位写血量的指令找到血量地址后不要满足于修改它。右键该地址选择“Find out what writes to this address”查找写入此地址的指令然后回到游戏让敌人再次扣血。你会看到类似下面的汇编代码mov [rax0x3C], edx这里的含义是把寄存器edx的值写入rax 0x3C指向的内存地址。换句话说0x3C就是 enemy 对象内部 health 字段的偏移量。rax寄存器里保存的就是 enemy 对象的起始地址。这条指令会告诉我们一个关键信息只要得到 enemy 对象的基址再加上偏移0x3C就能得到血量字段的地址。3.3 手工分析对象基址在 CE 的指令列表里双击这条写入指令点击“More info”或者直接查看寄存器。此时你会看到rax的值例如0x2A1F5D30。这个值就是当前敌人的对象地址。在 CE 中点击“Memory View”按下CtrlG跳转到这个地址仔细观察从该地址开始的一段内存你会发现里面不止有血量还有很多其他数据。比如0x2A1F5D30: 1C 00 00 00 50 00 00 00 00 00 00 00 ... 0x2A1F5D3C: 0A 00 00 00 ... -- 这是血量十进制 90从对象地址开始偏移0x3C处正好是血量 90。这个发现意味着我们不再需要依赖一个“单独的血量地址”而是掌握了一个完整的对象地址。3.4 为什么不能只看单个地址如果你只保存“血量地址”重启游戏后十有八九会失效。因为游戏每次启动时Unity 都会在堆上重新分配对象地址是动态变化的。但是如果你的分析对象是一个不会变的对象数组比如敌人生成后固定存储在某个容器中那么数组基址加上索引乘以元素大小得到的每个对象地址就是稳定可计算的。所以接下来的目标是把“当前这个 Enemy 对象地址”放到数组的上下文里去理解。4. 从对象地址到数组识别结构体数组4.1 观察多个同类型对象的内存间距在当前场景中放置了 3 个敌人。用同样的方法分别找到 3 个敌人的对象地址。假设结果是敌人对象地址Enemy 00x1A2F5D30Enemy 10x1A2F5EB0Enemy 20x1A2F6030计算地址差值Enemy 1 - Enemy 0 0x1A2F5EB0 - 0x1A2F5D30 0x180Enemy 2 - Enemy 1 0x1A2F6030 - 0x1A2F5EB0 0x180每个敌人对象的间距是0x180字节。在大多数情况下这意味着它们存储在一个连续数组中。Enemy 实例的大小或者数组中元素的有效分配大小就是0x180。这个信息极有价值因为数组可以这样计算第 i 个对象地址 数组基址 i × 0x180第 i 个对象的血量地址 第 i 个对象地址 0x3C4.2 找到数组基址要找到数组基址最直接的方法是回到 CE搜索对象的起始地址。我们可以用“十六进制扫描”的方式。如果数组首元素地址是0x1A2F5D30它不是数组的起始位置但我们可以尝试向上搜索。在 CE 中选择扫描类型Hexadecimal输入对象地址附近的值寻找指向该地址的指针。更好用的方法是选中对象地址右键 →Pointer scan for this address扫描此地址的指针链CE 会帮我们找出从模块静态基址到该地址的偏移链。这一步得到的典型结果类似game.exe 0x00A23B40 → 0x18 → 0x8 → 0x1C0含义是在模块game.exe的基址偏移0x00A23B40处存有一个指针指针指向下一层结构依次经过0x18、0x8、0x1C0三个偏移最后得到数组基址。把一个“动态地址”转换为“模块基址 固定偏移链”的过程叫指针链分析。这也是为什么重开游戏后地址仍然能计算出来的原因——模块基址虽然是动态的但相对于模块的偏移通常是固定的。4.3 数组与动态数组的区别Unity 中常见的数组容器有两种普通数组Enemy[]内存连续元素大小固定非常适合直接遍历。ListEnemy底层其实是数组包装内部会维护_items数组和_size字段扩容时整体搬迁但运行时对象仍然是连续存储。在内存分析时ListT的_items字段就等价于数组基址。你可以在反编译工具中看到类似private T[] _items; private int _size;在实际分析中无论遇到的是数组还是 List核心思路都一样找到连续的、大小相同的对象块然后通过索引计算地址。4.4 验证数组元素之间的独立性我们可以做一个简单的验证把第 0 个敌人的血量改成不同值如 50然后在 CE 的内存视图中跳转到第 1 个敌人的对象地址观察其血量偏移处是否仍然是独立的 100。如果不同说明我们的0x180元素间距计算正确每个对象的内存区域是互相独立的。这时我们已经完成了“血量 → 对象 → 数组”的链路。现在要解决的是最后一个问题坐标。5. 从对象到坐标读取 Transform 与 Vector35.1 Unity 坐标的存储结构在 Unity 中几乎所有的场景对象都挂在 GameObject 上而 GameObject 必有 Transform 组件。运行时对象身上的 Transform 数据可以通过反编译或内存分析来验证。比如我们用 dnSpy 或者 Il2CppDumper 打开一个 Unity 程序集能看到 Transform 类内部有public Vector3 m_LocalPosition; public Quaternion m_LocalRotation; public Vector3 m_LocalScale;在内存中m_LocalPosition是一个 Vector3 结构体由三个 float 组成字段类型大小相对偏移xfloat4 字节0x00yfloat4 字节0x04zfloat4 字节0x08在 Unreal 里坐标可能存为 double但在 Unity 里几乎都是 float。这一点非常重要因为如果我们用整数方式读取坐标得到的一定是错误值。5.2 从 Enemy 对象找到 Transform在实际游戏里Enemy 类中并不会直接内嵌完整的 Transform而是有一个指向 Transform 实例的字段或在组件系统里有单独的组件数组。在上一节的 Enemy 脚本中GameObject.transform是一个属性。Unity 的内部布局中这个属性往往通过对象头或组件管理器来定位。对于学习 Demo最简单的定位方式是在 CE 中查看 enemy 对象内存区段。先找出 enemy 对象的地址然后在内存视图中搜索一类特殊的值一个看起来像堆地址的 8 字节数据并且该地址附近能找到像m_LocalPosition一样的三个连续 float。如果 Demo 编写时把 Transform 直接作为字段那么它可能在 enemy 对象内部直接连续存放。比如public class Enemy : MonoBehaviour { public int health 100; public Transform selfTransform; }此时selfTransform是一个对象引用在内存中是 8 字节的指针指向 Transform 对象。我们可以这样理解Enemy 对象 0x3C health 0x70 selfTransform 指针 Transform 对象 0x90 m_LocalPosition.x 0x94 m_LocalPosition.y 0x98 m_LocalPosition.z实际偏移要以 CE 分析为准不同 Unity 版本有差异。这就体现了“用内存视图确认而不是硬套偏移”的重要性。5.3 世界坐标与局部坐标的换算如果对象没有父级Transform 的m_LocalPosition就是世界坐标。如果对象在层级面板中有父节点它保存的是相对于父节点的局部坐标。要得到世界坐标需要向父链逐级累加worldPosition parent.worldPosition localPosition换句话说无父级时世界坐标 LocalPosition。有父级时世界坐标 父对象的世界坐标 当前对象的 LocalPosition。在实际逆向中如果不想做复杂的父链计算也可以直接从 Unity 的场景管理器中枚举场景对象找到 Transform 的缓存世界坐标。不过本文从数据结构角度讲解只要理解了 Vector3 的内存布局读取本身并不复杂。5.4 坐标与屏幕坐标的区别很多初学者会把“世界坐标”和“屏幕坐标”混为一谈。CE 里读出的 float 是游戏世界的三维坐标单位通常为米Unity 默认 1 单位 1 米。而屏幕上鼠标所见的坐标是经过相机投影变换后的二维像素坐标。如果要从世界坐标推出屏幕坐标需要相机的 VP 矩阵clipPos projectionMatrix * viewMatrix * worldPos screenX (clipPos.x / clipPos.w 1) * 0.5 * screenWidth screenY (1 - clipPos.y / clipPos.w) * 0.5 * screenHeight但如果我们的目标只是读取对象坐标、分析位置关系那么读世界坐标就够了不需要做投影计算。6. 编写外部读取程序6.1 C 读取内存完整示例当我们已经通过 CE 分析得到模块基址例如0x7FF6A2D10000运行时动态值数组基址偏移0x00A23B40指针链0x18 → 0x8 → 0x1C0对象元素大小0x180血量偏移0x3CTransform 指针偏移0x70坐标偏移0x90就可以写一个外部程序读取所有敌人对象的血量和坐标。#include iostream #include vector #include windows.h #include TlHelp32.h struct Vector3 { float x; float y; float z; }; struct EnemyData { DWORD64 enemyAddress; int health; Vector3 position; }; // 根据进程名获取进程 PID DWORD GetProcessIdByName(const wchar_t* name) { HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (snapshot INVALID_HANDLE_VALUE) return 0; PROCESSENTRY32W pe { sizeof(pe) }; if (Process32FirstW(snapshot, pe)) { do { if (_wcsicmp(pe.szExeFile, name) 0) { CloseHandle(snapshot); return pe.th32ProcessID; } } while (Process32NextW(snapshot, pe)); } CloseHandle(snapshot); return 0; } // 读取指定进程内存 bool ReadMemory(HANDLE hProcess, DWORD64 address, void* buffer, SIZE_T size) { SIZE_T bytesRead 0; return ReadProcessMemory(hProcess, (LPCVOID)address, buffer, size, bytesRead); } // 读取一个 64 位指针 DWORD64 ReadPointer(HANDLE hProcess, DWORD64 address) { DWORD64 value 0; ReadMemory(hProcess, address, value, sizeof(value)); return value; } int main() { const wchar_t* processName LUnityDemo.exe; DWORD pid GetProcessIdByName(processName); if (pid 0) { std::cout 未找到游戏进程请先启动 Unity Demo。 std::endl; return 1; } HANDLE hProcess OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, pid); if (!hProcess) { std::cout 打开进程失败请确认是否有权限。 std::endl; return 1; } // 实际项目中模块基址需要从进程模块列表中获取这里用 CE 分析出来的运行地址示意 DWORD64 moduleBase 0x7FF6A2D10000; // 从模块基址出发按指针链解析数组基址 DWORD64 pArrayBase moduleBase 0x00A23B40; DWORD64 arrayBase ReadPointer(hProcess, pArrayBase); arrayBase ReadPointer(hProcess, arrayBase 0x18); arrayBase ReadPointer(hProcess, arrayBase 0x8); arrayBase ReadPointer(hProcess, arrayBase 0x1C0); std::cout 数组基址: 0x std::hex arrayBase std::dec std::endl; const int enemyCount 3; const DWORD64 elementSize 0x180; const DWORD64 healthOffset 0x3C; const DWORD64 transformOffset 0x70; const DWORD64 positionOffset 0x90; std::vectorEnemyData enemies; for (int i 0; i enemyCount; i) { DWORD64 enemyAddress arrayBase i * elementSize; EnemyData data; data.enemyAddress enemyAddress; // 读取血量int ReadMemory(hProcess, enemyAddress healthOffset, data.health, sizeof(data.health)); // 读取 Transform 指针 DWORD64 transformAddress ReadPointer(hProcess, enemyAddress transformOffset); // 读取坐标 Vector3 ReadMemory(hProcess, transformAddress positionOffset, data.position, sizeof(data.position)); enemies.push_back(data); } // 输出结果 for (const auto e : enemies) { std::cout 敌人地址: 0x std::hex e.enemyAddress std::dec 血量: e.health 坐标: ( e.position.x , e.position.y , e.position.z ) std::endl; } CloseHandle(hProcess); return 0; }这段代码的核心逻辑是根据进程名找到游戏进程 PID。打开进程句柄获得内存读取权限。从模块基址出发经过指针链解析出数组基址。遍历数组元素通过字段偏移读取血量和坐标。输出结果。需要说明的是这里的moduleBase是 CE 分析过程中读取到的运行时地址。实际项目中应该用EnumProcessModules或者CreateToolhelp32Snapshot获取模块的真正基址避免硬编码。示例里为了突出重点暂时用固定值演示思路。6.2 C# 调用示例如果你更习惯 C#可以通过 P/Invoke 调用kernel32.dll的ReadProcessMemory。核心代码几乎一样using System; using System.Diagnostics; using System.Runtime.InteropServices; namespace MemoryReader { class Program { [DllImport(kernel32.dll, SetLastError true)] static extern IntPtr OpenProcess(uint access, bool inherit, int pid); [DllImport(kernel32.dll, SetLastError true)] static extern bool ReadProcessMemory(IntPtr process, IntPtr address, byte[] buffer, int size, out int read); [StructLayout(LayoutKind.Sequential)] struct Vector3 { public float x; public float y; public float z; } [StructLayout(LayoutKind.Sequential)] struct EnemyData { public long enemyAddress; public int health; public Vector3 position; } static void Main(string[] args) { Process process Process.GetProcessesByName(UnityDemo)[0]; IntPtr hProcess OpenProcess(0x0010, false, process.Id); // 0x0010 VM_READ long moduleBase 0x7FF6A2D10000; // 从 CE 获取的示例值 long arrayBase ReadLong(hProcess, moduleBase 0x00A23B40); arrayBase ReadLong(hProcess, arrayBase 0x18); arrayBase ReadLong(hProcess, arrayBase 0x8); arrayBase ReadLong(hProcess, arrayBase 0x1C0); int count 3; long elementSize 0x180; int healthOffset 0x3C; int transformOffset 0x70; int positionOffset 0x90; for (int i 0; i count; i) { long enemyAddr arrayBase i * elementSize; int health ReadInt(hProcess, enemyAddr healthOffset); long transformAddr ReadLong(hProcess, enemyAddr transformOffset); Vector3 pos ReadVector3(hProcess, transformAddr positionOffset); Console.WriteLine($Enemy {i}: HP{health}, Pos({pos.x:F2}, {pos.y:F2}, {pos.z:F2})); } } static long ReadLong(IntPtr h, long address) { byte[] buffer new byte[8]; ReadProcessMemory(h, new IntPtr(address), buffer, 8, out _); return BitConverter.ToInt64(buffer, 0); } static int ReadInt(IntPtr h, long address) { byte[] buffer new byte[4]; ReadProcessMemory(h, new IntPtr(address), buffer, 4, out _); return BitConverter.ToInt32(buffer, 0); } static Vector3 ReadVector3(IntPtr h, long address) { byte[] buffer new byte[12]; ReadProcessMemory(h, new IntPtr(address), buffer, 12, out _); Vector3 v; v.x BitConverter.ToSingle(buffer, 0); v.y BitConverter.ToSingle(buffer, 4); v.z BitConverter.ToSingle(buffer, 8); return v; } } }6.3 运行与验证运行程序后预期输出类似数组基址: 0x1A2F5D30 敌人地址: 0x1A2F5D30 血量: 100 坐标: (5.04, 0.50, 0.00) 敌人地址: 0x1A2F5EB0 血量: 100 坐标: (6.04, 0.50, 0.00) 敌人地址: 0x1A2F6030 血量: 100 坐标: (7.04, 0.50, 0.00)由于敌人的moveSpeed后面加了 1所以坐标的 X 值会随时间持续增大。这正说明我们读到的是实时世界坐标。6.4 为什么这样读取是可行的很多初学内存分析的朋友会有一个困惑为什么 ReadProcessMemory 能直接读游戏内存道理在于 Windows 操作系统上进程内存默认是隔离的一个进程不能直接访问另一个进程的地址空间。但 Windows 提供了调试和诊断接口如ReadProcessMemory它允许具有合适权限的进程读取目标进程的指定内存区域。这个接口原本是给调试器、性能分析工具用的我们把它用于学习和分析数据结构是完全合理的。同时这也解释了为什么只能读取而不能直接“遍历对象图”——我们必须知道地址和偏移才能拿到数据。7. 常见问题与排查思路在实际操作中最常见的几个问题如下问题现象常见原因解决思路CE 扫描后候选地址太多起始血量值不唯一或没有稳定扣血机制使用未知初始值扫描配合 Changed/Unchanged 过滤确保对象血量确实在变化修改血量后游戏内数值瞬间恢复血量由服务端同步/周期性修复或者血量是计算属性而非存储字段单机验证检查写入指令是否还有其他来源用 Debug 工具查看血量字段调用链分析出的指针链重开后失效指针链中间节点不是模块静态地址而是堆地址用 CE 的 Pointer scan 生成指针链或检查是否每一层都有模块基址参与数组元素大小无法确定对象之间还有其他分配物不连续多取几个对象地址求差值选取最大公约数或利用已知字段偏移反推坐标读到无穷大/NaN地址不对、读错长度、Transform 指针为 0先在 CE 内存视图中手工验证坐标位置确认 Transform 指针指向的是有效内存检查你是否读取了错误的偏移调用 ReadProcessMemory 返回失败权限不足或地址非法以管理员身份运行确认目标进程 PID检查地址长度是否越界排查时有一个贯穿始终的可靠方法先在 CE 里手工确认地址和值再写程序。不要一上来就写代码读取否则你怎么知道是代码写错了还是偏移找错了呢8. 最佳实践与工程建议8.1 命名与偏移管理把零散偏移量做成常量或者配置文件不要散落在代码各处。实际项目中建议建立一个偏移表namespace Offsets { constexpr DWORD64 Enemy_Health 0x3C; constexpr DWORD64 Enemy_Transform 0x70; constexpr DWORD64 Transform_LocalPosition 0x90; }这样当 Unity 版本升级导致布局变化时只需要改一处而不是满代码找。8.2 动态模块基址不要硬编码模块基址。程序中应该用系统 API 获取目标进程的模块列表找到主模块的基址MODULEINFO moduleInfo; HMODULE hModule GetModuleHandle(NULL); // 仅用于当前进程 // 跨进程时使用 EnumProcessModulesEx如果目标进程是 64 位的注意指针长度也要用 64 位读取否则会造成截断。8.3 安全与权限边界读内存必须坚守最小权限原则只申请PROCESS_VM_READ和PROCESS_QUERY_INFORMATION不需要写权限时绝不申请写权限。仅在测试环境、授权环境中操作。不把此类技术用于未授权产品、联机竞技游戏或任何破坏公平性的场景。8.4 日志与异常处理在正式工具中所有读取操作都要做返回值检查。如果ReadProcessMemory返回失败要记录地址和错误码而不是静默继续。否则后面的计算基于错误数据排错难度翻倍。8.5 Unity 版本差异不同 Unity 版本的内部对象布局有差异尤其是从 Mono 转向 IL2CPP 之后内存结构、对象头、组件字段偏移都会变化。实际分析时不要照搬其他项目的偏移必须使用 CE 在当前版本中重新确认。9. 总结与后续路线通过这篇文章的操作我们已经把一条原本零散的逆向链路串了起来从血量数值定位到具体内存地址。通过写入指令分析出对象基址和字段偏移。利用多个同类型对象的地址差识别出对象数组以及元素大小。通过对象内部指针找到 Transform再定位 Vector3 坐标。借助 ReadProcessMemory 从外部程序批量读取血量和坐标验证了内存布局分析的正确性。这套思路不仅适用于 Unity 项目对于熟悉了 C 对象内存布局的其他引擎也有很强的参考价值。下一步可以继续深入的方向包括学习 Unity 的 Component 系统内部结构理解 GameObject 与 Transform 的关联。研究 IL2CPP 转换后的内存模型掌握 AOT 编译与 Mono 编译的差异。阅读《游戏逆向工程》相关书籍系统性学习调试器原理、汇编指令、指针扫描。多做 CTF 比赛中的 reverse 题型提升对二进制结构和算法逆向的敏感度。如果你能独立完成本文的实验再试着在场景中加入旋转、缩放、以及多层级父子对象你会发现坐标计算从“读三个 float”变成了“读一整棵 Transform 树”那将是下一篇文章的主题了。动手试试吧亲手在 CE 里走一遍这个流程比看十遍文章更有效。
Unity游戏内存逆向实战：从血量定位到对象数组与坐标读取
最近在整理 U3DUnity 3D游戏相关的内存结构分析笔记时很多读者私信问我同一个问题网上讲“改血量”的简单教程很多但一碰到“数组”“坐标”就全懵了不知道怎样才能从一串内存地址里把多个对象的数据完整提取出来。这篇文章不教你做外挂而是从游戏逆向的学习角度出发拆解一条完整的逆向链路从血量数值入手定位目标对象分析存储结构识别对象数组再把坐标数据从内存中按偏移读取出来。整个过程会涵盖 Cheat Engine 扫描、指令定位、指针偏移、数组遍历、坐标读取和外部程序编写适合对游戏内存分析感兴趣的开发者、安全方向初学者以及想深入理解 Unity 内部对象布局的读者。1. 背景与核心概念1.1 U3D 是什么U3D 是 Unity 3D 的简称是目前使用最广泛的游戏引擎之一。Unity 开发的项目通常使用 C# 编写游戏逻辑底层引擎由 C 实现游戏内的 GameObject游戏对象、Component组件、Transform变换等核心类都有一套固定的内存布局。理解 U3D 的内存结构有一个核心前提游戏对象在运行时并不是凭空存在的它会被分配在一块连续或不连续的内存中。对象内部包含各种字段例如血量Health、坐标Position、名称、状态等每一个字段都有自己的内存偏移量Offset。1.2 血量逆向是什么意思简单来说“血量逆向”就是通过内存分析的手段在游戏运行时找到血量HP这个数值在进程内存中的存储位置进而通过修改或读取该位置来实现对游戏数据的掌控。初学者最容易形成的误解是血量就是一个单独的变量找到它就行了。实际上几乎没有任何一款真实游戏会为每一个敌人的血量单独声明一个全局变量。更常见的设计是有一个角色类Player或Enemy内部包含int health。场景里有多个敌人程序会用一个数组或列表来管理它们。血量只是对象数组里每个元素内部的一个字段。所以从“血量”这一个点出发我们要做的是顺藤摸瓜摸到对象数组的基址再根据元素大小和字段偏移读取同一个结构下的其他数据——比如坐标。1.3 数组、指针与坐标的关系数组在内存中是一段连续的区域。比如一个Enemy[] enemies数组它在内存里表现为一连串相同大小的对象实例排列。每个 Enemy 实例内部有固定布局Enemy 实例第 i 个 ├── 血量字段偏移 0x3C ├── 名字字段偏移 0x50 ├── Transform 指针偏移 0x70 └── 其他字段……坐标通常不是 Enemy 类直接内嵌的字段而是通过 Transform 组件保存的。Unity 内部每个 GameObject 都有一个 Transform它包含m_LocalPosition、m_LocalRotation、m_LocalScale等属性。坐标数据在内存中本质上是一个 Vector3 结构体由三个连续的 4 字节 float 组成X偏移 0Y偏移 4Z偏移 8因此一个完整的逆向数据链路可以概括为血量数值地址 → 所属对象 (Enemy) 地址 → 对象数组基址 → Transform 指针 → Vector3 坐标下面我们就一步步来分析这条链路。2. 环境准备与实验目标2.1 实验环境为了安全、合法地学习建议使用你自己编写或者明确允许本地逆向的 Unity 单机 Demo 作为实验对象。本文示例采用以下环境项目说明操作系统Windows 10/11 64 位目标程序自制 Unity 单机 Demo可运行窗口模式分析工具Cheat Engine 7.x简称 CE开发工具Visual Studio 或者任意 C/C# 编译器编程语言C读取内存示例版本需要根据你的项目实际情况调整本文示例以常见环境为例重点演示配置思路不绑定具体版本号。2.2 最小可实验场景设计建议你用 Unity 创建一个最简单的 3D 场景场景中放置 3 个 Capsule胶囊体作为敌人每个敌人身上挂一个脚本脚本里有public int health 100;同时让每个敌人以不同速度移动。脚本参考如下using UnityEngine; public class Enemy : MonoBehaviour { public int health 100; public float moveSpeed 1f; void Update() { // 敌人沿 X 轴移动用于观察坐标变化 transform.Translate(moveSpeed * Time.deltaTime, 0, 0); } void OnMouseDown() { // 点击敌人时扣血方便在 CE 中制造数值变化 health - 10; } }在这个场景里health是对象内部一个典型的整数字段transform.position是 Unity 提供的世界坐标。场景足够简单但完全覆盖了“血量 → 对象 → 数组 → 坐标”的学习链路。2.3 明确学习边界在做任何实验前先给自己画一道线仅在单机学习环境、自研程序、明确授权的程序中进行分析。本文的目的是理解内存结构、数组布局、坐标表示等底层原理。不做任何破坏网络游戏公平性、绕过安全限制的操作。不读取、不传播任何非授权数据。这一点非常重要。逆向技术的本质是一把工具刀用在 Debug、性能分析、漏洞学习上是技术提升用在违规场景就会变成破坏行为。3. 从血量地址到对象地址逆向链路第一段3.1 用 CE 精确扫描血量数值启动 Unity 游戏把场景中某个敌人的血量设为已知值例如 100。打开 Cheat Engine选择游戏进程然后在 Value 输入框输入100。Scan Type 选择Exact Value。点击 First Scan。第一次扫描结果可能有很多个地址因为游戏里 100 这个值可能出现多次。此时不要急点击场景中的敌人让它扣血血量变为 90回到 CE 输入90点击 Next Scan。重复两到三次后地址列表会收敛到很少的候选地址。最终找到的那个数值跟随血量变化的地址就是该敌人对象health字段的运行时地址。值得说明的是如果游戏启动时血量恢复、随机生成等情况导致数值不固定可以使用Unknown initial value配合Changed value/Unchanged value扫描原理是一样的只是要多花一点时间。3.2 定位写血量的指令找到血量地址后不要满足于修改它。右键该地址选择“Find out what writes to this address”查找写入此地址的指令然后回到游戏让敌人再次扣血。你会看到类似下面的汇编代码mov [rax0x3C], edx这里的含义是把寄存器edx的值写入rax 0x3C指向的内存地址。换句话说0x3C就是 enemy 对象内部 health 字段的偏移量。rax寄存器里保存的就是 enemy 对象的起始地址。这条指令会告诉我们一个关键信息只要得到 enemy 对象的基址再加上偏移0x3C就能得到血量字段的地址。3.3 手工分析对象基址在 CE 的指令列表里双击这条写入指令点击“More info”或者直接查看寄存器。此时你会看到rax的值例如0x2A1F5D30。这个值就是当前敌人的对象地址。在 CE 中点击“Memory View”按下CtrlG跳转到这个地址仔细观察从该地址开始的一段内存你会发现里面不止有血量还有很多其他数据。比如0x2A1F5D30: 1C 00 00 00 50 00 00 00 00 00 00 00 ... 0x2A1F5D3C: 0A 00 00 00 ... -- 这是血量十进制 90从对象地址开始偏移0x3C处正好是血量 90。这个发现意味着我们不再需要依赖一个“单独的血量地址”而是掌握了一个完整的对象地址。3.4 为什么不能只看单个地址如果你只保存“血量地址”重启游戏后十有八九会失效。因为游戏每次启动时Unity 都会在堆上重新分配对象地址是动态变化的。但是如果你的分析对象是一个不会变的对象数组比如敌人生成后固定存储在某个容器中那么数组基址加上索引乘以元素大小得到的每个对象地址就是稳定可计算的。所以接下来的目标是把“当前这个 Enemy 对象地址”放到数组的上下文里去理解。4. 从对象地址到数组识别结构体数组4.1 观察多个同类型对象的内存间距在当前场景中放置了 3 个敌人。用同样的方法分别找到 3 个敌人的对象地址。假设结果是敌人对象地址Enemy 00x1A2F5D30Enemy 10x1A2F5EB0Enemy 20x1A2F6030计算地址差值Enemy 1 - Enemy 0 0x1A2F5EB0 - 0x1A2F5D30 0x180Enemy 2 - Enemy 1 0x1A2F6030 - 0x1A2F5EB0 0x180每个敌人对象的间距是0x180字节。在大多数情况下这意味着它们存储在一个连续数组中。Enemy 实例的大小或者数组中元素的有效分配大小就是0x180。这个信息极有价值因为数组可以这样计算第 i 个对象地址 数组基址 i × 0x180第 i 个对象的血量地址 第 i 个对象地址 0x3C4.2 找到数组基址要找到数组基址最直接的方法是回到 CE搜索对象的起始地址。我们可以用“十六进制扫描”的方式。如果数组首元素地址是0x1A2F5D30它不是数组的起始位置但我们可以尝试向上搜索。在 CE 中选择扫描类型Hexadecimal输入对象地址附近的值寻找指向该地址的指针。更好用的方法是选中对象地址右键 →Pointer scan for this address扫描此地址的指针链CE 会帮我们找出从模块静态基址到该地址的偏移链。这一步得到的典型结果类似game.exe 0x00A23B40 → 0x18 → 0x8 → 0x1C0含义是在模块game.exe的基址偏移0x00A23B40处存有一个指针指针指向下一层结构依次经过0x18、0x8、0x1C0三个偏移最后得到数组基址。把一个“动态地址”转换为“模块基址 固定偏移链”的过程叫指针链分析。这也是为什么重开游戏后地址仍然能计算出来的原因——模块基址虽然是动态的但相对于模块的偏移通常是固定的。4.3 数组与动态数组的区别Unity 中常见的数组容器有两种普通数组Enemy[]内存连续元素大小固定非常适合直接遍历。ListEnemy底层其实是数组包装内部会维护_items数组和_size字段扩容时整体搬迁但运行时对象仍然是连续存储。在内存分析时ListT的_items字段就等价于数组基址。你可以在反编译工具中看到类似private T[] _items; private int _size;在实际分析中无论遇到的是数组还是 List核心思路都一样找到连续的、大小相同的对象块然后通过索引计算地址。4.4 验证数组元素之间的独立性我们可以做一个简单的验证把第 0 个敌人的血量改成不同值如 50然后在 CE 的内存视图中跳转到第 1 个敌人的对象地址观察其血量偏移处是否仍然是独立的 100。如果不同说明我们的0x180元素间距计算正确每个对象的内存区域是互相独立的。这时我们已经完成了“血量 → 对象 → 数组”的链路。现在要解决的是最后一个问题坐标。5. 从对象到坐标读取 Transform 与 Vector35.1 Unity 坐标的存储结构在 Unity 中几乎所有的场景对象都挂在 GameObject 上而 GameObject 必有 Transform 组件。运行时对象身上的 Transform 数据可以通过反编译或内存分析来验证。比如我们用 dnSpy 或者 Il2CppDumper 打开一个 Unity 程序集能看到 Transform 类内部有public Vector3 m_LocalPosition; public Quaternion m_LocalRotation; public Vector3 m_LocalScale;在内存中m_LocalPosition是一个 Vector3 结构体由三个 float 组成字段类型大小相对偏移xfloat4 字节0x00yfloat4 字节0x04zfloat4 字节0x08在 Unreal 里坐标可能存为 double但在 Unity 里几乎都是 float。这一点非常重要因为如果我们用整数方式读取坐标得到的一定是错误值。5.2 从 Enemy 对象找到 Transform在实际游戏里Enemy 类中并不会直接内嵌完整的 Transform而是有一个指向 Transform 实例的字段或在组件系统里有单独的组件数组。在上一节的 Enemy 脚本中GameObject.transform是一个属性。Unity 的内部布局中这个属性往往通过对象头或组件管理器来定位。对于学习 Demo最简单的定位方式是在 CE 中查看 enemy 对象内存区段。先找出 enemy 对象的地址然后在内存视图中搜索一类特殊的值一个看起来像堆地址的 8 字节数据并且该地址附近能找到像m_LocalPosition一样的三个连续 float。如果 Demo 编写时把 Transform 直接作为字段那么它可能在 enemy 对象内部直接连续存放。比如public class Enemy : MonoBehaviour { public int health 100; public Transform selfTransform; }此时selfTransform是一个对象引用在内存中是 8 字节的指针指向 Transform 对象。我们可以这样理解Enemy 对象 0x3C health 0x70 selfTransform 指针 Transform 对象 0x90 m_LocalPosition.x 0x94 m_LocalPosition.y 0x98 m_LocalPosition.z实际偏移要以 CE 分析为准不同 Unity 版本有差异。这就体现了“用内存视图确认而不是硬套偏移”的重要性。5.3 世界坐标与局部坐标的换算如果对象没有父级Transform 的m_LocalPosition就是世界坐标。如果对象在层级面板中有父节点它保存的是相对于父节点的局部坐标。要得到世界坐标需要向父链逐级累加worldPosition parent.worldPosition localPosition换句话说无父级时世界坐标 LocalPosition。有父级时世界坐标 父对象的世界坐标 当前对象的 LocalPosition。在实际逆向中如果不想做复杂的父链计算也可以直接从 Unity 的场景管理器中枚举场景对象找到 Transform 的缓存世界坐标。不过本文从数据结构角度讲解只要理解了 Vector3 的内存布局读取本身并不复杂。5.4 坐标与屏幕坐标的区别很多初学者会把“世界坐标”和“屏幕坐标”混为一谈。CE 里读出的 float 是游戏世界的三维坐标单位通常为米Unity 默认 1 单位 1 米。而屏幕上鼠标所见的坐标是经过相机投影变换后的二维像素坐标。如果要从世界坐标推出屏幕坐标需要相机的 VP 矩阵clipPos projectionMatrix * viewMatrix * worldPos screenX (clipPos.x / clipPos.w 1) * 0.5 * screenWidth screenY (1 - clipPos.y / clipPos.w) * 0.5 * screenHeight但如果我们的目标只是读取对象坐标、分析位置关系那么读世界坐标就够了不需要做投影计算。6. 编写外部读取程序6.1 C 读取内存完整示例当我们已经通过 CE 分析得到模块基址例如0x7FF6A2D10000运行时动态值数组基址偏移0x00A23B40指针链0x18 → 0x8 → 0x1C0对象元素大小0x180血量偏移0x3CTransform 指针偏移0x70坐标偏移0x90就可以写一个外部程序读取所有敌人对象的血量和坐标。#include iostream #include vector #include windows.h #include TlHelp32.h struct Vector3 { float x; float y; float z; }; struct EnemyData { DWORD64 enemyAddress; int health; Vector3 position; }; // 根据进程名获取进程 PID DWORD GetProcessIdByName(const wchar_t* name) { HANDLE snapshot CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (snapshot INVALID_HANDLE_VALUE) return 0; PROCESSENTRY32W pe { sizeof(pe) }; if (Process32FirstW(snapshot, pe)) { do { if (_wcsicmp(pe.szExeFile, name) 0) { CloseHandle(snapshot); return pe.th32ProcessID; } } while (Process32NextW(snapshot, pe)); } CloseHandle(snapshot); return 0; } // 读取指定进程内存 bool ReadMemory(HANDLE hProcess, DWORD64 address, void* buffer, SIZE_T size) { SIZE_T bytesRead 0; return ReadProcessMemory(hProcess, (LPCVOID)address, buffer, size, bytesRead); } // 读取一个 64 位指针 DWORD64 ReadPointer(HANDLE hProcess, DWORD64 address) { DWORD64 value 0; ReadMemory(hProcess, address, value, sizeof(value)); return value; } int main() { const wchar_t* processName LUnityDemo.exe; DWORD pid GetProcessIdByName(processName); if (pid 0) { std::cout 未找到游戏进程请先启动 Unity Demo。 std::endl; return 1; } HANDLE hProcess OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, pid); if (!hProcess) { std::cout 打开进程失败请确认是否有权限。 std::endl; return 1; } // 实际项目中模块基址需要从进程模块列表中获取这里用 CE 分析出来的运行地址示意 DWORD64 moduleBase 0x7FF6A2D10000; // 从模块基址出发按指针链解析数组基址 DWORD64 pArrayBase moduleBase 0x00A23B40; DWORD64 arrayBase ReadPointer(hProcess, pArrayBase); arrayBase ReadPointer(hProcess, arrayBase 0x18); arrayBase ReadPointer(hProcess, arrayBase 0x8); arrayBase ReadPointer(hProcess, arrayBase 0x1C0); std::cout 数组基址: 0x std::hex arrayBase std::dec std::endl; const int enemyCount 3; const DWORD64 elementSize 0x180; const DWORD64 healthOffset 0x3C; const DWORD64 transformOffset 0x70; const DWORD64 positionOffset 0x90; std::vectorEnemyData enemies; for (int i 0; i enemyCount; i) { DWORD64 enemyAddress arrayBase i * elementSize; EnemyData data; data.enemyAddress enemyAddress; // 读取血量int ReadMemory(hProcess, enemyAddress healthOffset, data.health, sizeof(data.health)); // 读取 Transform 指针 DWORD64 transformAddress ReadPointer(hProcess, enemyAddress transformOffset); // 读取坐标 Vector3 ReadMemory(hProcess, transformAddress positionOffset, data.position, sizeof(data.position)); enemies.push_back(data); } // 输出结果 for (const auto e : enemies) { std::cout 敌人地址: 0x std::hex e.enemyAddress std::dec 血量: e.health 坐标: ( e.position.x , e.position.y , e.position.z ) std::endl; } CloseHandle(hProcess); return 0; }这段代码的核心逻辑是根据进程名找到游戏进程 PID。打开进程句柄获得内存读取权限。从模块基址出发经过指针链解析出数组基址。遍历数组元素通过字段偏移读取血量和坐标。输出结果。需要说明的是这里的moduleBase是 CE 分析过程中读取到的运行时地址。实际项目中应该用EnumProcessModules或者CreateToolhelp32Snapshot获取模块的真正基址避免硬编码。示例里为了突出重点暂时用固定值演示思路。6.2 C# 调用示例如果你更习惯 C#可以通过 P/Invoke 调用kernel32.dll的ReadProcessMemory。核心代码几乎一样using System; using System.Diagnostics; using System.Runtime.InteropServices; namespace MemoryReader { class Program { [DllImport(kernel32.dll, SetLastError true)] static extern IntPtr OpenProcess(uint access, bool inherit, int pid); [DllImport(kernel32.dll, SetLastError true)] static extern bool ReadProcessMemory(IntPtr process, IntPtr address, byte[] buffer, int size, out int read); [StructLayout(LayoutKind.Sequential)] struct Vector3 { public float x; public float y; public float z; } [StructLayout(LayoutKind.Sequential)] struct EnemyData { public long enemyAddress; public int health; public Vector3 position; } static void Main(string[] args) { Process process Process.GetProcessesByName(UnityDemo)[0]; IntPtr hProcess OpenProcess(0x0010, false, process.Id); // 0x0010 VM_READ long moduleBase 0x7FF6A2D10000; // 从 CE 获取的示例值 long arrayBase ReadLong(hProcess, moduleBase 0x00A23B40); arrayBase ReadLong(hProcess, arrayBase 0x18); arrayBase ReadLong(hProcess, arrayBase 0x8); arrayBase ReadLong(hProcess, arrayBase 0x1C0); int count 3; long elementSize 0x180; int healthOffset 0x3C; int transformOffset 0x70; int positionOffset 0x90; for (int i 0; i count; i) { long enemyAddr arrayBase i * elementSize; int health ReadInt(hProcess, enemyAddr healthOffset); long transformAddr ReadLong(hProcess, enemyAddr transformOffset); Vector3 pos ReadVector3(hProcess, transformAddr positionOffset); Console.WriteLine($Enemy {i}: HP{health}, Pos({pos.x:F2}, {pos.y:F2}, {pos.z:F2})); } } static long ReadLong(IntPtr h, long address) { byte[] buffer new byte[8]; ReadProcessMemory(h, new IntPtr(address), buffer, 8, out _); return BitConverter.ToInt64(buffer, 0); } static int ReadInt(IntPtr h, long address) { byte[] buffer new byte[4]; ReadProcessMemory(h, new IntPtr(address), buffer, 4, out _); return BitConverter.ToInt32(buffer, 0); } static Vector3 ReadVector3(IntPtr h, long address) { byte[] buffer new byte[12]; ReadProcessMemory(h, new IntPtr(address), buffer, 12, out _); Vector3 v; v.x BitConverter.ToSingle(buffer, 0); v.y BitConverter.ToSingle(buffer, 4); v.z BitConverter.ToSingle(buffer, 8); return v; } } }6.3 运行与验证运行程序后预期输出类似数组基址: 0x1A2F5D30 敌人地址: 0x1A2F5D30 血量: 100 坐标: (5.04, 0.50, 0.00) 敌人地址: 0x1A2F5EB0 血量: 100 坐标: (6.04, 0.50, 0.00) 敌人地址: 0x1A2F6030 血量: 100 坐标: (7.04, 0.50, 0.00)由于敌人的moveSpeed后面加了 1所以坐标的 X 值会随时间持续增大。这正说明我们读到的是实时世界坐标。6.4 为什么这样读取是可行的很多初学内存分析的朋友会有一个困惑为什么 ReadProcessMemory 能直接读游戏内存道理在于 Windows 操作系统上进程内存默认是隔离的一个进程不能直接访问另一个进程的地址空间。但 Windows 提供了调试和诊断接口如ReadProcessMemory它允许具有合适权限的进程读取目标进程的指定内存区域。这个接口原本是给调试器、性能分析工具用的我们把它用于学习和分析数据结构是完全合理的。同时这也解释了为什么只能读取而不能直接“遍历对象图”——我们必须知道地址和偏移才能拿到数据。7. 常见问题与排查思路在实际操作中最常见的几个问题如下问题现象常见原因解决思路CE 扫描后候选地址太多起始血量值不唯一或没有稳定扣血机制使用未知初始值扫描配合 Changed/Unchanged 过滤确保对象血量确实在变化修改血量后游戏内数值瞬间恢复血量由服务端同步/周期性修复或者血量是计算属性而非存储字段单机验证检查写入指令是否还有其他来源用 Debug 工具查看血量字段调用链分析出的指针链重开后失效指针链中间节点不是模块静态地址而是堆地址用 CE 的 Pointer scan 生成指针链或检查是否每一层都有模块基址参与数组元素大小无法确定对象之间还有其他分配物不连续多取几个对象地址求差值选取最大公约数或利用已知字段偏移反推坐标读到无穷大/NaN地址不对、读错长度、Transform 指针为 0先在 CE 内存视图中手工验证坐标位置确认 Transform 指针指向的是有效内存检查你是否读取了错误的偏移调用 ReadProcessMemory 返回失败权限不足或地址非法以管理员身份运行确认目标进程 PID检查地址长度是否越界排查时有一个贯穿始终的可靠方法先在 CE 里手工确认地址和值再写程序。不要一上来就写代码读取否则你怎么知道是代码写错了还是偏移找错了呢8. 最佳实践与工程建议8.1 命名与偏移管理把零散偏移量做成常量或者配置文件不要散落在代码各处。实际项目中建议建立一个偏移表namespace Offsets { constexpr DWORD64 Enemy_Health 0x3C; constexpr DWORD64 Enemy_Transform 0x70; constexpr DWORD64 Transform_LocalPosition 0x90; }这样当 Unity 版本升级导致布局变化时只需要改一处而不是满代码找。8.2 动态模块基址不要硬编码模块基址。程序中应该用系统 API 获取目标进程的模块列表找到主模块的基址MODULEINFO moduleInfo; HMODULE hModule GetModuleHandle(NULL); // 仅用于当前进程 // 跨进程时使用 EnumProcessModulesEx如果目标进程是 64 位的注意指针长度也要用 64 位读取否则会造成截断。8.3 安全与权限边界读内存必须坚守最小权限原则只申请PROCESS_VM_READ和PROCESS_QUERY_INFORMATION不需要写权限时绝不申请写权限。仅在测试环境、授权环境中操作。不把此类技术用于未授权产品、联机竞技游戏或任何破坏公平性的场景。8.4 日志与异常处理在正式工具中所有读取操作都要做返回值检查。如果ReadProcessMemory返回失败要记录地址和错误码而不是静默继续。否则后面的计算基于错误数据排错难度翻倍。8.5 Unity 版本差异不同 Unity 版本的内部对象布局有差异尤其是从 Mono 转向 IL2CPP 之后内存结构、对象头、组件字段偏移都会变化。实际分析时不要照搬其他项目的偏移必须使用 CE 在当前版本中重新确认。9. 总结与后续路线通过这篇文章的操作我们已经把一条原本零散的逆向链路串了起来从血量数值定位到具体内存地址。通过写入指令分析出对象基址和字段偏移。利用多个同类型对象的地址差识别出对象数组以及元素大小。通过对象内部指针找到 Transform再定位 Vector3 坐标。借助 ReadProcessMemory 从外部程序批量读取血量和坐标验证了内存布局分析的正确性。这套思路不仅适用于 Unity 项目对于熟悉了 C 对象内存布局的其他引擎也有很强的参考价值。下一步可以继续深入的方向包括学习 Unity 的 Component 系统内部结构理解 GameObject 与 Transform 的关联。研究 IL2CPP 转换后的内存模型掌握 AOT 编译与 Mono 编译的差异。阅读《游戏逆向工程》相关书籍系统性学习调试器原理、汇编指令、指针扫描。多做 CTF 比赛中的 reverse 题型提升对二进制结构和算法逆向的敏感度。如果你能独立完成本文的实验再试着在场景中加入旋转、缩放、以及多层级父子对象你会发现坐标计算从“读三个 float”变成了“读一整棵 Transform 树”那将是下一篇文章的主题了。动手试试吧亲手在 CE 里走一遍这个流程比看十遍文章更有效。