最近有朋友问我，Cheat Engine（下面统一叫CE）到底怎么找游戏里的血量地址，为什么照着网上的教程搜到地址改了没反应，或者一重启游戏地址就变了。这个问题其实问到了CE最核心的一个概念：指针。今天我就把指针定位血量地址的完整思路和实操步骤拆开揉碎了讲一遍。这篇内容适合刚接触CE的新手，也适合那些会搜数值但一直搞不懂“基址”“偏移”是什么的玩家。只要跟着操作一遍，你就能理解游戏内存地址为什么会变，以及怎么用CE的指针扫描器把那个“不变的地基”挖出来。
我最早玩CE的时候也卡在这一步很久，当时满脑子都是“我明明找到了血量数值，为什么换个地图就失效”。后来才明白，游戏里的对象（比如玩家角色、怪物）在内存中的位置是动态分配的，你搜到的那个地址只是个“临时门牌号”，而指针才是“导航路线图”。搞懂这个逻辑，CE才算真正入门。
1. 思路拆解：为什么血量地址会变，以及指针是怎么解决这个问题的
1.1 从“直接搜数值”到“追踪地址”的思维转变
先说说最简单的场景。你打开CE，选中游戏进程，输入当前血量比如100，搜一遍，然后被打一下，血量变成90，再搜90，反复几次，就能筛出一个或几个地址。把这个地址加到地址栏，你甚至可以直接锁定它，让血量永远不减。这个操作对很多单机游戏的内存数值是有效的，因为那些数值确实存在一个固定地址里。
但问题来了：很多现代游戏，尤其是用引擎开发的大型游戏，角色的属性并不是存在固定地址的。游戏运行时会动态创建角色对象，这个对象在内存里的位置每次启动游戏都可能不一样，甚至同一个游戏会话里，切换场景、重新加载存档之后，地址也会变。你刚才锁定的那个地址，过了两分钟就存着一堆无意义的数据了。
这时候核心思路就得转变：不再直接找“血量这个数”，而是找“某个东西指向血量这个数的地址”。在C/C++里，这个东西叫指针——一个存储了地址的变量。你搜到的血量地址，很可能是被这个指针“指向”的。只要找到最底层那个不随游戏启动变化的指针（基址），再加上每一层之间的偏移量，你就能在任何时候从基址出发，一层一层解引用，最终找到血量的真实地址。
1.2 用“快递柜”理解指针和偏移
拿快递柜打比方可能更好懂。假设你家楼下有一排快递柜，每个格子有一个编号（相当于内存地址），格子里放着包裹（相当于数值）。你收到的取件码是“A3-中层-第5格”。这个取件码不是具体门牌号，而是一套找包裹的路线指引——先找到A3号柜（基址），再打开中层（第一层偏移），再取第5格（第二层偏移），最后拿到包裹。
游戏的情况就是：A3号柜本身的位置是固定的，但“中层第5格”里面放的东西一直在变。血量地址就像变来变去的格子编号，而那条“A3-中层-第5格”的路线就是指针链。我们要做的，就是通过CE把这条路线完整地找出来。
1.3 为什么需要指针扫描器而不是手动穷举
有人可能会问：那我能不能直接搜“指向当前血量地址的指针”？理论上可以，但实际情况是，游戏里可能有几十上百个指针都指向这个地址，手动逐个验证会疯掉。CE的指针扫描器（Pointer Scan）就是干这个的：它会扫描进程内存，找出所有可能的指针路径，然后你重启游戏或者切一次场景，再重新找出血量地址，对比哪些路径仍然成立，从而筛选出真正稳定的基址和偏移。
这一步是CE实战中最有技术含量的部分，也是很多教程一句话带过的地方。我接下来的实操部分会把每一步写得尽量细，包括每个按钮的位置和选项的作用，就是为了让没有基础的朋友也能按图索骥。
2. 核心细节解析：基址、偏移量与CE的关键功能
2.1 必须先搞清楚的三个概念
在动手之前，先把三个基础概念过一遍：基址、偏移、指针链。
- 基址（Base Address）：可以理解为游戏模块在内存中的固定加载地址，一般形如
game.exe+0x00A1B2C3。这个地址在游戏每次启动时通常是固定的（基址本身不一定每次启动不变，但配合模块基址计算后是稳定的），它是整条指针链的起点。 - 偏移（Offset）：每层对象结构里，目标数据相对于结构头部的距离。比如玩家对象结构里，血量字段在第0x10偏移处，法力值在第0x14偏移处。偏移量一般不会变。
- 指针链（Pointer Chain）：从基址出发，经过一层层偏移直到最终目标地址的完整路径。CE里表示出来形如
[game.exe+0x00A1B2C3]+0x10]+0x5C，方括号表示“取出这个地址里存的值”，再往后走一层。
这三个概念理解了，后面的操作才不会盲目。我见过很多人乱扫一通指针，存了个全部结果，但不知道怎么验证，就是因为对指针链的结构没概念。
2.2 CE里四个必须用熟的功能
要完成指针定位，CE界面里这四个功能你必须知道是干什么的，分别在什么场景下用：
- “扫描类型”下拉框里的“精确数值”、“未知初始值”：用于第一阶段，把血量数值从整个内存海中筛出来。血量一般是4字节整数，但有些游戏用浮点数（比如显示100.0），所以类型选项里“4字节”和“浮点数”都值得试。
- “找出是什么改写了这个地址”：这是最关键的按钮。找到血量地址后，点右键选这个功能，然后回游戏里打自己一拳让血量变化，CE就能截获是哪条汇编指令改写了这个地址。这条指令里通常藏着一个基址寄存器和偏移量。
- “指针扫描器”：在主界面按Ctrl+Alt+P或者从菜单打开。它会扫描当前进程内存，枚举所有可能指向你指定地址的指针路径。扫描需要一定时间，取决于内存大小，通常几分钟内完成。扫描结果是一个巨大的指针路径列表，包括“偏移量”和“已解析的指针”等列。
- “结构体（Structure）解析”：进阶功能，可以按偏移还原出对象的字段布局。如果指针扫描出来的路径很多，你想确认整个角色对象结构，可以用它查看偏移位置的数据含义。虽然这次教程不一定用到，但了解一下知道它存在于CE的完整工作流中。
2.3 详细步骤图解（文字版）：从找血量到出指针链
这里我用一个比较典型的通用流程来演示。不同游戏的具体数值和偏移不一样，但整体套路是通用的。
第一步：找到血量地址
打开CE，点击左上角那个小电脑图标，选择游戏进程。然后在“值”输入框里输入当前血量，比如100，点“首次扫描”。回游戏挨一下打，血量变成95，在CE里输入95，点“再次扫描”。重复几次，直到结果列表里只剩几个甚至一个地址。列表里的地址就是当前血量在内存中的位置。注意，如果没有任何结果，尝试把“数值类型”从“4字节”换成“浮点数”或“8字节”，很多游戏的血量是浮点数存储的。
把这个地址添加到下方地址栏后，右键这个地址，选择“找出是什么改写了这个地址”。此时CE会弹出一个小窗口，开始记录。回游戏打自己一拳，再切回CE，你会看到类似这样的一行汇编指令：
mov [rax+0x10], edx
这句话的意思是：把edx的值（新血量）写入到rax+0x10这个地址。这里的rax寄存器保存的，就是当前玩家对象的起始地址，而0x10就是血量字段相对这个对象的偏移。很多时候，你还会看到几行类似的指令，比如血量和法力值都由同一个对象管理。
第二步：确定指针链的下一层
我们知道了上层对象地址（rax的值），但rax本身不是固定地址，它也可能是某个更父级对象里的一个指针。现在对着那行汇编指令双击，或右键选择“查看这个区域的代码”，在反汇编窗口里能看到完整上下文。仔细观察rax是怎么来的，你通常会发现上面有类似mov rax, [rbx+0x20]这样的指令，说明rax是通过另一个对象偏移得到的。
这里有个关键操作：你需要在CE的“内存查看器”里，把rax的具体值找出来。选中那行mov [rax+0x10], edx指令，下面会显示寄存器列表，能看到运行到这条指令时各寄存器的值。记下rax的地址值，然后回到CE主界面，用这个地址值做一次新的内存扫描。你会找到指向这个地址的指针。这个过程可能要重复几次，每层向上追踪，最终会找到一个带game.exe+0x...这样字样的地址，这就是基址了。
整个手工追链的过程比较费神，所以更推荐用下一步的指针扫描器，一步到位。
第三步：用指针扫描器直接出指针链
回到最初找到的血量地址，选中它，然后打开“指针扫描器”（菜单路径：工具 -> 指针扫描器，或快捷键Ctrl+Alt+P）。在弹出的设置窗口里，“起始地址”一般默认就是当前选中的地址，保持即可。关键是“最大偏移”和“最大层级”两个参数。对于血量这种比较顶层的数据，偏移通常不会超过0xFFFF，层级一般3到5层就够了。我一般默认：最大偏移0x1000，最大层级4，扫描速度快，结果也够用。
点击“确定”，CE开始扫描，进度条跑完会列出成千上万个可能的指针路径。先不管，右键把这个扫描结果保存为一个.PTR文件。然后重启游戏（或者至少切换一次场景），重新搜一遍血量，把新的血量地址再作为一个扫描目标，选择菜单里的“指针扫描” -> “使用保存的指针扫描结果”，或者直接打开你刚刚保存的PTR文件，在“重新扫描”里填新的地址。CE会对比旧指针路径是否还成立，最终筛选出来的结果，就有很大概率是稳定可用的指针链。
第四步：验证并锁定
在筛选结果里，优先看那些包含game.exe模块名的指针，比如game.exe+0xABCDEF -> offset 0x10 -> offset 0x5C。这个格式最稳定。双击它，添加到地址栏。你会发现地址栏里显示的不是普通地址，而是一个带方括号的表达式。在“数值类型”里选正确的类型（4字节或浮点数），然后点击“激活”复选框旁边的“锁定”按钮。回到游戏，看看血量是否被锁住了。
锁住以后你还可以试试切地图、读档，如果血量一直不掉，说明这条指针链找对了，恭喜你，这游戏的结构已经被你拿捏了。
3. 实操过程记录：一次完整的CE指针定位演示
3.1 演示环境和目标设定
我这次用了一个比较老的单机RPG做演示，这种游戏结构相对简单，适合作为教学对象。游戏里角色血量显示为整数，最大值100，攻击和受到攻击都会改变血量。目标很明确：把血量增加这个操作做成一个永久可用的CE修改，即使游戏重启，也只需把地址栏里的指针项激活一次，就能锁定血量。
先说结论，最终得到的指针链是game.exe+0x004F1C38 -> offset 0xE8 -> offset 0x1E0。这条链是经过了重启游戏、切换地图两次验证的，稳得一批。下面记录我在操作过程中的完整动作和卡点，方便你理解每一步在实际运行时是什么状态。
3.2 扫描血量数值环节的一些细节
打开CE附加进程后，输入100做精确扫描，结果数量大概是几十万条，这个很正常。我回游戏挨了一拳，变成95，再次扫描，结果瞬间变少。重复一次，数量变成几百条。这时候我不急着一一验证，而是采用“未知初始值+改动后扫描”的备选方案，因为精确扫描有时候会因为数值类型选错而筛不出来。这次很顺利，几次精确扫描后，剩了唯一一个地址：0x09A8CF40，类型显示“4字节”，值95。
把这个地址加到地址栏，右键选“找出是什么改写了这个地址”，等待写入日志。我回游戏又挨了一拳，地址栏弹出一条指令：
mov [rcx+0xE8], eax
说明血量是相对当前对象在偏移0xE8的位置存储的。这一步出现0xE8这个偏移，后续要在指针链结果里重点关注。下一步我要搞清楚rcx寄存器怎么来的。
3.3 手工追一层指针再放手
我打开内存查看器，双击这条指令，看到上下文。往上翻几行，有一条mov rcx, [rax+0x98]，意思是当前对象是从上一层对象偏移0x98处获得的。这一步意味着我至少还有一层指针要处理。
理论上我可以继续手工追下去，但太费劲了，我决定直接上指针扫描器，让CE把所有可能的完整路径都找出来。手工追这一层的目的，是让我对对象结构有一个大概的认知，这样后面筛选指针扫描结果时，看到0xE8和0x98这两个偏移会显得亲切一些。
3.4 指针扫描器的参数设置和二次扫描
选中准确的血量地址，打开指针扫描器。我设置的参数是：最大偏移0x1000，最大层数5，允许最大指针数量200。扫描过程大概用了3分钟，结果70多万条指针路径。这些路径里绝大多数是垃圾，是内存中一些碰巧指向了该地址的随机值，所以不要看到大量结果就慌。
保存扫描结果，命名为first_scan.ptr。然后我切换了一次地图，又重新搜了一遍血量，拿到新地址0x1234ABCD。打开PTR文件，在弹出的界面里填入新地址，选择“重新扫描”模式。这次CE会只保留那些在新地址仍然有效的路径。结果从70多万条跳到了四百多条。还是有点多，我又做了一次：再重启游戏，再扫一次新地址，再重新扫描同样的PTR文件。两次都通过的路径只剩9条。
3.5 筛选并锁定最终路径
这9条路径里，我优先选择了带game.exe模块名的那一条。CE允许你扫描结果按“模块名”排序，直接过滤看带exe的。最终我选定的路径是game.exe+0x004F1C38 -> offset 0xE8（咦，这次没有0x98了，说明血量直接挂在基址偏移0xE8的位置，之前手工追的那一层是别的对象）。把这条路径加入地址列表，CE显示的实际地址和当前血量地址一模一样，数值正确。锁定后回游戏挨打，血量纹丝不动。
这里有个很重要的实操经验：指针扫描器筛出来的路径里，优先选择层级少的。一层偏移直达的路径自然比三层四层的更稳定，因为中间的每一层偏移都有可能在游戏版本更新后变化。选最短路径永远是第一原则。
4. 常见问题速查：指针扫描常见故障与解决思路
4.1 CE指针扫描器扫不到任何东西怎么办
这是后台私信里问得最多的问题。扫不到东西，基本逃不出三个原因：
- 你当前选中的地址不是稳定的对象地址，可能只是临时计算出来的数值。比如某些特效数值、临时缓冲区里的值，它们本身没有任何指针指向，扫描结果自然少得可怜或者是空的。
- 最大偏移或最大层数设置得太小。有些游戏的对象结构很深，偏移动辄0xFFFF往上。这时候可以把最大偏移调到0x8000甚至0x10000，最大层级调到8，扫描时间会变长，但能覆盖更多可能性。
- 进程附加了，但目标地址被游戏的反调试机制干扰。这种情况少数游戏会有，用CE的“KernelMode”或者换个驱动加载模式能缓解，但属于进阶话题，新手阶段先排除前两个原因。
4.2 指针扫描结果里全是“？？”或者无效偏移
这种情况通常发生在你保存了PTR文件，然后换了游戏版本或者更新了补丁之后重新扫描。游戏程序更新后，模块地址会变动，对象结构也可能调整，旧的扫描结果自然大部分失效。解决办法只有一个：重新找血量地址，重新做一次指针扫描，不要在原PTR文件上死磕。做修改器的话，每次游戏大版本更新，第一件事就是重新验证指针链是否还成立。
4.3 锁定指针后游戏崩溃怎么办
锁定指针本身不会导致崩溃，崩溃通常是因为你锁定了错误的数值类型。比如血量其实是浮点数，你却按4字节整数锁了一个整数进去，游戏逻辑在处理时一转换就爆了。另外还要注意，有些游戏会在血量变化时做额外的边界检查，你把数值锁成一个非法值（比如负数、超过上限的极大数），游戏就可能触发异常。这也不算坏事，至少说明你已经能影响游戏逻辑了，下一步就是学着观察周围的数据，找到更合理的锁定值。
4.4 如何验证你找到的指针是可靠的
验证方法很简单：游戏重启，重新读档，然后在CE地址栏里重新添加这条指针路径，看看解析出来的地址是否指向一个合理的血量值。是，就说明路径里所有的模块基址和偏移都是可靠的。不是，就说明其中某层偏移在新的运行环境下变了。此时你需要做的是重新找出血量地址，再重复一次指针扫描和筛选。多验证几次，你对自己找到的路径会越来越有信心。
5. 从CE操作到摸清游戏对象结构的进阶路线
走完上面一遍完整流程，你已经能稳定地定位血量了。但如果想更进一步，建议研究一下CE的“结构体解析”功能。它能加载游戏的符号信息（如果游戏没有反调试、没有加壳），或者你通过指针链整理出对象里每个偏移对应的字段。
比如我现在能从game.exe+0x004F1C38这个基址出发，列出玩家对象的偏移布局：0x0C是等级、0x10是经验、0xE8是血量、0xEC是法力值、0xF0是最大血量。有了这张表，你不仅能改血量，还能改经验、改属性、改背包格子数，整个游戏在你面前几乎就是透明的。
我个人习惯是，找到一个有意义的基址之后，先把附近几百个字节的内存dump下来，对照游戏内面板一个个猜字段含义。CE的“内存查看器”可以按4字节、8字节、浮点数、双浮点数等多种方式解析字节区域，把内存翻一遍，比对游戏中已知数值的位置，很快就能把结构摸个七七八八。这个过程非常有意思，玩CE久了你会发现，游戏开发者在内存里留下的“痕迹”，往往暴露了底层架构的很多信息。
再往后，如果你对反汇编感兴趣，可以顺着“找出是什么改写了这个地址”继续深入，看血量减伤、暴击、回复的实现逻辑。很多外挂的核心逻辑就是这么一点点逆出来的，不过那就是另一个层次的话题了。
CE这个工具入门不难，但想玩得溜，指针这一关必须过。希望这篇文章能帮你把“指针”这个概念从抽象变成看得见摸得着的东西。至少下次再看到[r12+0x1C]这种汇编指令，你不会一脸懵，而是能反应过来：哦，这是从某个对象的偏移0x1C处取数据。到了这一步，CE的实战大门就真正对你敞开了。
