一、先说一下写一个外挂需要什么条件
目前的外挂大部分都是用BC或者是vc写的，拥有熟练的C语言知识是写外挂的基本条件
2、具有很强的汇编基础 一般游戏都不可能有原代码的，必须*反汇编或者跟踪的办
法来探索其中的机理 ，所以有强的汇编基础也是必不可少的条件
3、熟练掌握跟踪和调试的工具
有了上面2个条件后，掌握一些工具也是很有必要的
跟踪的工具，softice当然是不二之选，至于反汇编的工具，我推荐用IDA PRO
这个工具反汇编出来的代码结构清晰，非常好读
如果你不具有上面的条件，还是先把基础打好，再来写外挂吧，一分耕耘，一分收获，天下没有白掉的馅饼的
二、写外挂面临的基本技术问题
1、修改进程的执行代码 要修改进程的执行代码，要先取得进程的ID,如果是由外挂程序启动，返回值里就有进程ID,
writeprocessmemory来修改进程的执行代码了，使程序按照我们的意愿来执行，石器外挂里的不遇敌、寸步遇敌
就是用这样的方法来实现的
2、截获外挂发送和接收的封包
除了通过修改代码来实现的功能以外，很多的功能都是通过修改封包来实现的，要修改封包，首先要能截获它。
第一步是要跟踪出发和收的位置，至于怎么跟踪，我以后会提到，找到位置以后，有2个办法，一是在那个位置加一
个jmp语句，跳到你的处理函数位置，处理完后，再跳回来，这种方法要求比较高，需要处理好很多事情，另一种办法
是往那个位置写条能造成例外的指令，比如int 3,然后用DebugActiveProcess调试游戏进程，这样每当游戏执行到那个
位置的时候，就会停下来，到外挂程序里面去，等外挂程序处理完以后，用ContinueDebugEvent 继续运行程序。
今天先写这么多，下回将讨论外挂的具体功能该怎么实现

今天来谈谈地址的调查问题，地址调查是写外挂中最艰辛，最富有挑战性的事情，

我主要对外挂的技术进行分析,至于游戏里面的内部结构每个都不一样,这里就不做讲解了,我也没有那么厉害,所有的都知道,呵呵!

; 如你要破解VB程序，下面的VB运行库将要装载，SOFTICE默认值是没有这几行，你需手动加上。

  启动windows装载SOFTICE后，咦！怎么没反应，没调试画面！哈哈，别着急，按CTRL＋D看看，再按一下回到windows下，或按F5也能回来。此时调试窗口象windows开的一窗口，如是象全屏DOS一样窗口，那就是安装显卡时，参数没选好，此时按上文修正即可。下面的命令是调整SOFTICE窗口状态：

四、TRW2000的安装与配制

AX/EAX作为累加器用，所以它是算术运算的主要寄存器。在乘除指令中指定用来存放操作数。另外，所有的I/O指令都使用AX或AL与外部设备传送信息。

BX/EBX在计算存储器地址时，可作为基址寄存器使用。

CX/ECX常用来保存计数值，如在移位指令、循环指令和串处理指令中用作隐含的计数器。DX在作双字长运算时，可把DX和AX组合在一起存放一个双字长数，DX用来存放高16位数据。此外，对某些I/O操作，DX可用来存放I/O的端口地址。

SP/ESP、BP/EBP、SI/ESI、DI/EDI四个16/32位寄存器可以象数据寄存器一样在运算过程中存放操作数，但它们只能以字（16/32位）为单位使用。此外，它们更经常的用途是在存储器寻址时，提供偏移地址。因此，它们可称为指针或变址寄存器。

SP/ESP称为堆栈指针寄存器，用来指出栈顶的偏移地址。

BP/EBP称为基址指针寄存器，在寻址时作为基地址寄存器使用，但它必须与堆栈段寄存器SS联用来确定堆栈段中的存储单元地址。

2、标志寄存器FLAG
条件码标志用来记录程序中运行结果的状态信息，它们是根据有关指令的运行结果由(CPU)自动设置的。由于这些状态信息往往作为后续条件转移指令的转移控制条件，所以称为条件码。
① 进位标志　CF，记录运算时最高有效位产生的进位值。
② 符号标志　SF，记录运算结果的符号。结果为负时置1，否则置0。
③ 零标志　　ZF，运算结果为0时ZF位置1，否则置0。
④ 溢出标志　OF，在运算过程中，如操作数超出了机器可表示数的范围称为溢出。溢出时OF位置1，否则置0。
⑤ 辅助进位标志　AF，记录运算时第3位（半个字节）产生的进位值。
⑥ 奇偶标志　PF，用来为机器中传送信息时可能产生的代码出错情况提供检验条件。当结果操作数中1的个数为偶数时置1，否则置0。

符号填充指令MOVSX
MOVSX的填充方式是：用源操作数的符号位来填充目的操作数的高位数据位

MOVZX的填充方式是：恒用0来填充目的操作数的高位数据位

一个字进栈，系统自动完成两步操作：SP←SP-2，(SP)←操作数；
一个双字进栈，系统自动完成两步操作：ESP←ESP-4，(ESP)←操作数。

其功能是依次把寄存器AX、CX、DX、BX、SP、BP、SI和DI等压栈。

弹出一个字，系统自动完成两步操作：操作数←(SP)，SP←SP-2；
弹出一个双字，系统自动完成两步操作：操作数←(ESP)，ESP←ESP-4。

其功能是依次把寄存器DI、SI、BP、SP、BX、DX、CX和AX等弹出栈。其实，程序员不用记住它们的具体顺序，只要与指令PUSHA对称使用就可以了。

算术运算指令是反映CPU计算能力的一组指令，也是编程时经常使用的一组指令。它包括：加、减、乘、除及其相关的辅助指令。

该组指令的操作数可以是8位、16位和32位(80386+)。当存储单元是该类指令的操作数时，该操作数的寻址方式可以是任意一种存储单元寻址方式。

、带进位加指令ADC(见得较少)

受影响的标志位：AF、OF、PF、SF和ZF，不影响CF
指令的功能是把操作数的值加1。

、交换加指令XADD(见得较少)

受影响的标志位：AF、CF、OF、PF、SF和ZF
指令的功能是先交换两个操作数的值，再进行算术“加”法操作

、带借位减SBB(见得较少)

受影响的标志位：AF、CF、OF、PF、SF和ZF
指令的功能是把源操作数和标志位CF的值从目的操作数中一起减去。

受影响的标志位：AF、OF、PF、SF和ZF，不影响CF
指令的功能是把操作数的值减去1。

受影响的标志位：AF、CF、OF、PF、SF和ZF
指令的功能：操作数＝0－操作数，即改变操作数的正负号

计算机的乘法指令分为无符号乘法指令和有符号乘法指令，它们的唯一区别就在于：数据的最高位是作为“数值”参与运算，还是作为“符号位”参与运算。

乘法指令的被乘数都是隐含操作数，乘数在指令中显式地写出来。CPU会根据乘数是8位、16位，还是32位操作数，来自动选用被乘数：AL、AX或EAX。

指令的功能是把显式操作数和隐含操作数相乘，并把乘积存入相应的寄存器中。

、无符号数乘法指令MUL/FMUL

受影响的标志位：CF和OF(AF、PF、SF和ZF无定义)
指令的功能是把显式操作数和隐含操作数(都作为无符号数)相乘

除法指令的被除数是隐含操作数，除数在指令中显式地写出来。CPU会根据除数是8位、16位，还是32位，来自动选用被除数AX、DX-AX，还是EDX-EAX。

除法指令功能是用显式操作数去除隐含操作数，可得到商和余数。当除数为0，或商超出数据类型所能表示的范围时，系统会自动产生0号中断。

、无符号数除法指令DIV/FDIV

指令的功能是用显式操作数去除隐含操作数(都作为无符号数)。指令对标志位的影响无定义。

逻辑运算指令是另一组重要的指令，它包括：逻辑与(AND)、逻辑或(OR)、逻辑非(NOT)和异或指令(XOR)，逻辑运算指令也是经常使用的指令。

1、逻辑与操作指令AND

指令的功能是把源操作数中的每位二进制与目的操作数中的相应二进制进行逻辑“与操作”，操作结果存入目标操作数中。

2、逻辑或操作指令OR

指令的功能是把源操作数中的每位二进制与目的操作数中的相应二进制进行逻辑"或操作"，操作结果存入目标操作数中。

3、逻辑非操作指令NOT

其功能是把操作数中的每位变反，即：1←0，0←1。指令的执行不影响任何标志位。

4、逻辑异或操作指令XOR

指令的功能是把源操作数中的每位二进制与目的操作数中的相应二进制进行逻辑"异或操作"，操作结果存入目标操作数中。

检测位指令是把二个操作数进行逻辑“与”操作，并根据运算结果设置相应的标志位，但并不保存该运算结果，所以，不会改变指令中的操作数。在该指令后，通常用JE、JNE、JZ和JNZ等条件转移指令。

循环指令LOOP的一般格式：

LOOPW　标号　　　　　 ;CX作为循环计数器
LOOPD　标号　　　　　 ;ECX作为循环计数器

求1+2+…+1000之和，并把结果存入AX中。

转移指令分无条件转移指令和有条件转移指令两大类。

无条件转移指令包括：JMP、子程序的调用和返回指令、中断的调用和返回指令等。

下面只介绍无条件转移指令JMP

JMP指令的一般形式：

条件转移指令是一组极其重要的转移指令，它根据标志寄存器中的一个(或多个)标志位来决定是否需要转移，这就为实现多功能程序提供了必要的手段。微机的指令系统提供了丰富的条件转移指令来满足各种不同的转移需要，在编程序时，要对它们灵活运用。

条件转移指令又分三大类：基于无符号数的条件转移指令、基于有符号数的条件转移指令和基于特殊算术标志位的条件转移指令。

、无符号数的条件转移指令

、有符号数的条件转移指令

、特殊算术标志位的条件转移指令

例,已知一个字节变量char，试编写一程序段，把其所存的大写字母变成小写字母。

1、子程序的调用和返回指令

子程序的调用和返回是一对互逆操作，也是一种特殊的转移操作。
一方面，之所以说是转移，是因为当调用一个子程序时，程序的执行顺序被改变，CPU将转而执行子程序中的指令序列，在这方面，调用子程序的操作含有转移指令的功能，子程序的返回指令的转移特性与此类似；
另一方面，转移指令是一种“一去不复返”的操作，而当子程序完后，还要求CPU能转而执行调用指令之下的指令，它是一种“有去有回”的操作。
为了满足子程序调用和返回操作的特殊性，在指令系统中设置了相应的特定指令。

调用子程序指令的格式如下：

子程序的调用指令分为近(near)调用和远(far)调用。如果被调用子程序的属性是近的，那么，CALL指令将产生一个近调用，它把该指令之后地址的偏移量(用一个字来表示的)压栈，把被调用子程序入口地址的偏移量送给指令指针寄存器IP即可实现执行程序的转移

如果被调用子程序的属性是远的，那么，CALL指令将产生一个远调用。这时，调用指令不仅要把该指令之后地址的偏移量压进栈，而且也要把段寄存器CS的值压进栈。在此之后，再把被调用子程序入口地址的偏移量和段值分别送给IP和CS，这样完成了子程序的远调用操作

子程序调用指令本身的执行不影响任何标志位，但子程序体中指令的执行会改变标志位，所以，如果希望子程序的执行不能改变调用指令前后的标志位，那么，就要在子程序的开始处保护标志位，在子程序的返回前恢复标志位。

当子程序执行完时，需要返回到调用它的程序之中。为实现此功能，指令系统提供了一条专用的返回指令。其格式如下：

子程序的返回在功能上是子程序调用的逆操作。为了与子程序的远、近调用相对应，子程序的返回也分：远返回和近返回。返回指令在堆栈操作方面是调用指令的逆过程