OllyDbg与扫雷游戏逆向工程实战

1. 逆向工程与游戏修改入门

OllyDbg作为Windows平台最经典的动态调试工具之一，在软件逆向分析领域有着不可替代的地位。而扫雷这款Windows自带小游戏，因其简单的逻辑和明确的内存结构，成为许多逆向爱好者首选的"练手靶子"。将两者结合进行注入实验，不仅能快速理解程序运行机制，还能掌握基础的API Hook技术。

我第一次接触这个实验是在2010年，当时为了理解PE文件的内存加载机制，花了整整三天时间反复调试扫雷的计时代码。这种看似简单的注入操作，实际上涉及了进程内存管理、API拦截、数据修改等核心系统编程知识。下面我就从实际调试经验出发，详细解析这个经典案例的完整实现过程。

2. 环境准备与工具配置

2.1 必要工具清单

• OllyDbg 1.10（建议使用原版而非修改版）
• Windows XP/7虚拟机（兼容性最佳）
• 系统自带扫雷游戏（winmine.exe）
• LordPE或类似PE编辑器
• 计算器（用于十六进制换算）

注意：务必在虚拟机环境中操作，某些注入操作可能导致程序崩溃。我推荐使用VMware Workstation搭配Windows XP SP3系统镜像，这个环境对老版工具的支持最稳定。

2.2 OllyDbg基础配置

首次启动OllyDbg需要进行几项关键设置：

1. 选项→界面→字体：改为Fixedsys 9pt（避免字符显示不全）
2. 选项→调试设置→异常：勾选"忽略所有异常"
3. 右键CPU窗口→分析→删除分析（清除默认分析结果）

我习惯将堆栈窗口拖到界面右侧，这样在调试时可以同时观察寄存器、反汇编和堆栈的变化。这个布局在跟踪API调用时特别有用。

3. 扫雷内存结构分析

3.1 定位关键数据地址

启动扫雷后，首先需要找到游戏数据的存储位置：

1. 开始一局新游戏（建议中级难度）
2. 在OllyDbg中附加到winmine.exe进程
3. 右键→搜索→所有参考文本字符串
4. 查找"*"（地雷的显示符号）

通过字符串引用可以快速定位到游戏板绘制函数。在我的测试中，Windows 7下的扫雷1.0版本中，地雷数据通常存储在0x01005340开始的连续内存区域，每个字节对应一个格子（0x8F表示地雷，0x0F表示安全）。

3.2 动态修改