什么是内存脚本
图色脚本是"看屏幕"，那内存脚本就是"看数据"。游戏画面里的血量、坐标、金币，本质上都是内存里的一串变量——内存脚本绕过画面，直接去读、甚至去改写进程内存里的这些数值，效率比截图高一个数量级。这篇把它讲透。
一、核心原理
程序运行时，它的所有状态都活在内存里。操作系统提供了"读别人家进程内存"的接口（当然要有权限），内存脚本就是利用这些接口，把游戏里的关键数据读出来、或写进去。
- Windows：
OpenProcess打开进程，再用ReadProcessMemory/WriteProcessMemory读写（常被反作弊拦截）。 - 调试器 / 驱动：更底层地读取，常见于逆向工具。
二、为什么离不开"基址 + 偏移"
这是新手最容易懵的地方。现代游戏每次启动，变量的内存地址都是动态分配的，今天在 0x1234，明天可能就变了。要稳定找到"血量"，不能死记地址，得这样：
- 找到一块固定不变的基址（通常藏在游戏主模块里）；
- 顺着一条多级指针链（基址 + 偏移1 + 偏移2 + …）一级级解引用；
- 最后才到达真正的"血量"地址。
这套"找基址"的过程，就是用 Cheat Engine 做指针扫描在干的事。
三、一个最小示意（Windows 读内存，仅概念）
下面用 ctypes 示意"打开进程 → 读 4 字节"的基本套路。注意它要求调试权限、且目标须是同用户可访问的进程，这里只讲原理。
import ctypes
from ctypes import wintypes
kernel32 = ctypes.windll.kernel32
# 1) 打开进程（0x0010 = PROCESS_VM_READ）
h_process = kernel32.OpenProcess(0x0010, False, 1234)
# 2) 读取目标地址处的 4 字节（一个 int）
addr = 0x0123ABCD
buf = ctypes.create_string_buffer(4)
read = wintypes.DWORD(0)
ok = kernel32.ReadProcessMemory(h_process, addr, buf, 4, ctypes.byref(read))
if ok:
value = int.from_bytes(buf.raw, "little") # 注意小端序
print("读到的数值:", value)四、它能干什么
- 实时读取血量、坐标、背包，用来做判断和逻辑；
- 写值改属性（无限血、加速等），也就是俗称的"内存挂"；
- 合法用途：对自己写的程序做进程间通信测试、性能埋点、调试。
五、难点与风险
- 动态 + 混淆：地址天天变，数值还常被加偏移、加密扰乱，基址随时可能失效。
- 反作弊对抗：驱动级保护、CRC 校验、心跳检测，一动手就封号，重则蓝屏。
- 被杀软误判：读写他人进程内存的行为，特征上和木马高度相似。
和图色比： 内存脚本一次读取就能拿到全部状态，又快又稳；但门槛高、对抗性强、风险大。两者常常配合使用——先用图色兜底，再用内存提速。
合规边界： 内存读写本身是调试与安全的常规手段（你对自己开发的程序完全合法）。但用于未授权地篡改他人游戏/软件、破坏公平，属于违规甚至违法。研究请限定在自己拥有或已授权的程序上。
如果说图色是自动化的"眼睛"，那内存脚本就是"神经直连"——直接碰数据。下一篇要讲的封包脚本，则会绕过这一切，直接和服务器"对话"。
