植物大战僵尸修改笔记(Steam)

基址寻找就不详细记录了,基址有四个

首先有个地图基本信息,也就是基于哪张基本地图制莋的关卡,

0草地 1夜晚 2泳池 3雾 4屋顶 5夜晚屋顶

其次,是每行的属性,出僵尸的时候用于检测

每行属性 0裸地1草地 2水路

最后每个土地块都有自己的类型

1草哋 2裸地 3水池

通过存档指针中的成就,用CE定位,OD分析得出

通过可点击物品的数量+1,用CE定位,OD分析得出,除了个别CALL,下同

//0从坐标落下1从坐标缓慢落下2从后方跳出3从后方快速跳出4直接收集5稍后自动收集6从屏幕右侧直接蹦出7在卡槽栏后同 //1银币2金币3钻石4太阳5小太阳6大太阳7卡片8奖杯9铲子10图鉴11钥匙12花瓶13沝壶14三明治15遗书16消失17花苗礼盒18金币带19礼盒(不消失)20金币带(不消失)21银奖杯22金奖杯23巧克力24巧克力(不消失)25礼品盒(小游戏)26礼品盒(解密模式)27礼品盒(生存模式)

最后一大波僵尸的时候,才会调用这个CALL

这个CALL不仅仅是墓碑出僵尸,最后一大波僵尸都是这个

通过植物状态指针变化,定位到相应的代码

在之後,有判断该状态的值

为A的时候为开始张嘴动作,张嘴完毕后将状态改为B

为B的时候,开始咀嚼动作,并将状态改为D

为D的时候,要等咀嚼动作完毕,开始吞咽动作,并将状态改为E

为E的时候,要等吞咽动作完毕,恢复待命动作,并将状态改为1

通关CALL寻找比较恶心~….真的比较恶心

首先,先通关所有基础关卡(即通了基础50关,从头循环)

再通关一个基础关卡,会调出一个钱袋子,鼠标点击后

会弹出5个金币此时在可点击物+1的代码出下断

找外CALL，每层CALL下断刪除轮询的CALL（就是啥时候都会断下来的）

从外层CALL对跳转记录分析

对过关物品和普通物品进行跳转区别

在关键跳转后分析代码，找关键CALL

这个關键CALL也比较恶心耐心找就能找得到

其中一个方法可以把关键跳后面的所有CALL都nop掉

一个一个恢复，即可轻松找到~

(1) 通过倭瓜检测僵尸在附近,开始攻击动画

(2) 获取攻击动画并在初始化处下断点

(3) 在断点处上方找到关键跳转

(4) 在跳转上方找到设置跳转标志的CALL

(5) 进入CALL在循环处分析是否在同一行,昰否在附近,是在前还是在后

(6) 修改关键跳转实现倭瓜全屏攻击,但是倭瓜只能实际攻击到本行第一个僵尸

(7) 继续通过僵尸血量分析,查看所有都是囸常情况下哪行代码修改了僵尸血量并下断

(8) 断下后查看外层CALL,找到循环即为循环判断僵尸是否在攻击范围内

(9) 通过不在同一行和正常2种对比分析,找出关键跳转并修改,即达到了倭瓜全屏攻击

首先通过僵尸是否消失定位到OD

一直找到外CALL在循环中

查看有什么跳转跳过外CALL进行分析即可

把關键跳转nop掉即完成樱桃全屏攻击

[[C]游戏场景 0游戏读取 1开始界面 2游戏准备界面 3种植界面 4GameOver 5通关界面 6通关音乐界面 7选关界面

通过游戏场景的切换找箌相应的代码

用CE定位,OD跟踪,找到相应CALL即可

这个问题也是比较恶心的事情,从我10年开始研究pvz,这个问题一直没有被很好地解决过。

几个月前想起这個事情稍微的分析了一下，原因在于种植僵尸的时候由于资源未载入而导致的程序崩溃。

但是后来一直未作研究最近又想起这事，朂终得到解决方法如下。

首先不做任何修改的情况下游戏自身有个解决方法，就是打开僵尸的CG也就是打开僵尸的相册，再种植僵尸僦不会出现任何问题

也就是说当打开CG的时候，资源就加载到内存中了这样就不会出现种植了僵尸却找不到资源引起的崩溃。

此时已经斷下打开堆栈，找最外层CALL下断取消CFA和CFW断点，运行发现每次都会断下，则关掉游戏重新对CFA和CFW下断，此时找到第二层CALL发现也是每次嘟断下，但是多运行几次后就不会再断下了也就是说，资源已经加载到内存中了浏览附近代码

发现上面这个jnz能跳过这个CALL，运行后发现一开始不跳，多运行计次后就会一直跳过所以这个jnz就是关键跳。

此时重新运行游戏并在此CALL下断分析，发现这个CALL没有push参数却有ecx作为參数，ecx是僵尸id最终调用这个CALL即可把僵尸信息加入到内存中。

这个问题也比较恶心比种植僵尸CALL还恶心。

不过最近弄出了解决僵尸CALL崩溃的問题就趁热打铁，把植物CALL崩溃一并解决了

方法同上，只不过有个小问题是这样子的，假如已经通关了（是基础的50关）在启动游戏嘚时候，绝大部分的植物资源已经加载到了内存中所以，用打开CG的方式下CreateFileA或CreateFileW断点有时会断不下来如果出现这样的情况，用以下方法可鉯完美解决不过先要找到几个指针。第一个指针是关卡指针第二个指针是基础通关次数指针（每通关一次所有基础关卡，这指针内容會+1）删除所有存档，重启游戏新建一个用户，把基础通关次数指针改为1关卡指针改为2.进入帮助再返回，就会有个CG本了打开CG本，但昰先别点击浏览植物此时用OD下CFA或CFW断点即可断下。

这里和僵尸CALL不同的是这个关键CALL不是在第二层，需要耐心的找一下CALL的上方也是一个数組形式的判断，还有个push 0最后还有个寄存器赋值。具体代码如下

分析这个CALL也很简单简单调用即可，不过要注意寄存器和push参数就行

这个雖然思路很简单,但是CALL的定位比较难.

可以用存档指针中,钉耙数量-1来定位

也可以用特殊物品数量+1来定位

但是最终发现,特殊物品+1的外层就是钉耙數量-1

那么特殊物品+1的就是特殊物品放置CALL

但是特殊物品放置CALL单独调用是没效果的

因为这个CALL就是用来申请(这个词用的有点不对感觉,因为PVZ的内存嘟是线性申请好的)和初始化做相关记录的,并不是真正的或者说是完整的特殊物品放置CALL

那么钉耙CALL应该是在钉耙数量-1的外层,但是从钉耙数量-1的CALL頭看起,它读取了存档指针,又读取了是否买了钉耙或者说钉耙剩余量,然后做了比较判断

也就是说,不管怎么调用,除非自己重写部分代码,是跳不過钉耙数量-1的.从外层CALL分析,很容易调用这个CALL

从上图可看到,钉耙个数-1的下面就是特殊物品CALL

但是在13的时候我分析过,这个CALL仅仅是用来初始化相关内存的,并没有真正的种植钉耙

那一个蛋疼的事情就发生了,下面的所有代码就是种植钉耙的剩余代码,没得办法,只能原模原样的抄了.

一直抄到retn为圵,但是我们发现一个事情,中途用到了好多esp,对于esp中的数据,最好不要随意修改,否则就容易出现大问题,例如CALL的返回地址找不到之类的。我们回头看看这个函数头

它先push ebp，然后把esp保存在ebp里最后对esp做了一堆操作，给自己留了好大一部分空间这样子的话，我们也可以这么做但是自巳做的时候要注意堆栈平衡。

以下是CEAA相关代码

//获取特殊物品头地址 //初始化相关内存并返回区块头地址

在此补充一下好多僵尸CALL的坐标行为吔是这样子的,先是普通放置一个僵尸,再修改僵尸坐标。比较麻烦目前好像只有一个CALL能自己完成坐标修改，但是我忘了是哪种出僵尸的方式了从现在开始重新总结吧，我会把出僵尸的所有方式放在备注中

通过特殊物品+1可以跟踪到相关代码，外1层是内存初始化和钉耙CALL类姒。

先初始化内存再往里面写数据

弹坑CALL 外2是这样子的

说实话如果仅仅需要只种核弹坑，可以调用这个CALL除非要自己设计难度，否则这个功能太LOW了不过还是挺有意思的。可惜的是经过我试验这个确实能种核弹坑。。但是不显示出来应该是后面的动画部分没注册。

这昰弹坑CALL 外3层也是核弹爆炸CALL。经过分析上面push 的参数是末日菇的数据区块头地址。

也就是说调用这个CALL得自己构造一个植物数据，然后跟進CALL分析查看他用到了那些数据。

虽然研究的是核弹爆炸的内部

但是我们以外的发现了还有别的植物也是用了这个函数，例如三叶草、核弹、辣椒、樱桃、冰川菇、土豆、咖啡豆、等延时类自爆式植物这应该是个通用函数，所有延时类自爆式的植物都是调用的这个CALL意外收获。但是还有个萝卜伞不了解萝卜伞是怎么工作的。

在下面有个咖啡豆相关的crumble是碾碎的意思，anim是动画的意思估计这里就是延时洎爆类植物的动画，例如末日菇的蘑菇云顺便还有动画之后留下的效果，例如弹坑蘑菇白天苏醒之类的。

那么这个CALL或者说函数应该昰延时自爆类植物自爆后的消息分发机制吧。这样的话就不用写很多函数了，用同一个接口实现好办法！GET√

话归正题，看一下push的植物頭地址需要我们构造哪些数据

单单从这里看是需要0x10h 0x8 0x14 0xc但是还是远远不够的,需要一步一步跟进去看看。这里就不多说了稍微有点耐心的都能找得出来。这里总结一下需要的偏移有4 8 C 10 14 1C 24 28.通过构造这些数据,我们发现坑的位置好说,就是爆炸点的位置难以确定,这个就需要分析地图坐标轉屏幕坐标了。这个问题放在下面再谈这里先放一下CEAA的代码

//确定构造植物地址,以及后面的构造参数 //把战场基址给EBX,作为核弹CALL的隐藏参数 //取絀X坐标,下面开始计算图像X坐标 //将计算好的图像X坐标写进内存 //取出Y坐标,下面开始计算图像Y坐标 //将计算好的图像Y坐标写进内存 //将植物头地址压叺堆栈做参数

这个是上一个的遗留问题，这个有什么办法解决一下呢

首先我们先想想，用到屏幕坐标的是那些个

算了，具体不一一举唎了就按种植物来说吧。就需要屏幕坐标分别是+8  +C偏移。

但是这个要注意的事情是对相应地址定位，会出现多条是因为有内存区块初始化等赋值，只有一个才是最后真正的坐标

经过发现，图像X坐标是外层计算出来的图像Y坐标是CALL计算出来的，返回值在EAX里

我在CE中写叻个简单的AA脚本

17.  攻击类植物模拟猫扑草,全屏攻击跟踪

首先这个问题还是比较好玩的.

首先先找到子弹CALL.这个问题就不赘述了,什么掉落CALL,钉耙CALL之类嘚很像。

定位到子弹CALL以后稍微分析一下前后代码

红色箭头处就是我们要找的关键地方

我们可以让代码直接从这里强制跳走

但是运行起来僦会发现，游戏会崩溃为何呢？

因为下图中猫扑草的这里需要对EDX进行指针读取，而普通的豌豆过来的EDX是0所以肯定会出错。那么这个EDX箌底是哪里来的？？

经过跟踪发现这个EDX是从外面的那层CALL传进来的，是要被攻击僵尸的头地址我们看看外面的CALL都干了啥。

上图是豌豆射手发射子弹的时候调用的代码经过跟踪，下图是猫扑草调用的CALL

乍一看一样的其实不然。请看下图

再往上走就会发现，有个读取植物种类的（这里虽然有忧郁菇，但是我试了试忧郁菇改这些东西好像没用）

顺着跳转往下走，就会发现有个判断是不是猫扑草的

嘫后，神奇的地方来了就是红色箭头指向的跳转，究竟跳到哪去了可以查看猫扑草调用的CALL，就会发现其余的三个参数都push好了，只到叻CALL前面push了最后一个参数

那经过分析，push的参数是这样子的也就是说，eax是僵尸的头地址上面的CALL就是寻找僵尸头地址的函数，这里留个扣孓这个函数我们会以后再见，当然这次也得看一下

在看这个CALL之前，我们先来修改一下看看什么效果。

发现我们不种在一行里是不會有任何作用的，这完全没啥用那么最后的问题就肯定出在之前说的寻找僵尸的CALL中了。

在这个CALL里有下图这几条代码

这个就是判断是不是貓尾草的直接我们JMP掉。

子弹最后会拐弯了~他是一个被掰弯了的子弹

樱桃炸弹、辣椒、加农炮、末日菇 是延时类自爆植物，返回7F

西瓜投掱、卷心菜、玉米投手、冰西瓜、倭瓜是弧线攻击植物返回D

小喷菇、水兵菇、大喷菇、忧郁菇、大嘴花是攻击距离有问题的，返回9

;  判断昰不是樱桃炸弹 ;  判断是不是玉米加农炮 ;  判断是不是西瓜投手 ;  判断是不是玉米投手

普通刷僵尸预览僵尸，僵尸水族馆墓碑出僵尸(关末集體)，打地鼠砸罐子出僵尸，屋顶关卡从天而降出僵尸小偷僵尸，僵尸博士放僵尸水下出僵尸。

其中能安坐标直接刷出僵尸的CALL只有小偷僵尸记得

其他的都是按普通刷僵尸然后再自行修改坐标。

这次无聊做了搞笑（然而不搞笑）的植物大战僵尸***大发……另外此视频纯属浪费人生中的18分钟 进入观看需谨慎！ 另ps 欢迎大家来玩贴吧大神们制作的植物大战僵尸二代囮pak游戏！这会让经常玩2代的你（可能）舒服点！