发1篇比较深入的修改教程，希望对修改有兴趣且小有所成的人更进一步。
涉及到1些初级汇编命令和CE的高级功能。
而且这些问题自己多努力也是很容易弄清楚的。

[ENABLE]
00402ba0:
push ebp
mov ebp,esp
lea eax,[006aaa00]
pop ebp
ret
[DISABLE]
00402ba0:
push ebp
mov ebp,esp
mov eax,xc_beginprocedure::initdata+1e3018
pop ebp
ret
int 3

以上是风色xx数据免加密的代码，[enable]表示开启后做的修改 [disable]表示取消修改后的还原代码。
对比1下，其实区别只有这个代码
lea eax,[006aaa00]  ==== mov eax,xc_beginprocedure::initdata+1e3018
原本 xc_beginprocedure::initdata+1e3018 的意思是，将加密表的地址传给eax
注意这里用的是mov ，汇编中mov传送的是变量的值。

修改后变成了lea eax,[006aaa00] ，意思是把006aaa00的地址传给eax
lea传送的不是变量的值，而是变量的地址。
变量的值可以是0，但是1个存在的变量的地址却不能为0
(这就好像，1个房子可以住不同的人，也可以不住任何人。但是这个房子是永远存在的。那个房子的地址也是不变的。这个房子总是可以通过地址找到的。)

==========
[ENABLE]
alloc(getrap,1000)
alloc(point,4)
registersymbol(point)
label(exit)
005305bb:
jmp getrap
exit:

getrap:
mov [point],eax
mov [eax+08],edx
mov esp,ebp
jmp exit

[DISABLE]
dealloc(getrap)
dealloc(point)
unregistersymbol(point)
005305bb:
mov [eax+08],edx
mov esp,ebp

这是监视rap变化函数的代码。
rap的变化是通过1个函数来实现的，这个函数处理所有rap变化。
简单说来就是，rap增加和减少都是经过这个函数的。
在这个函数中拦截1下函数的操作数，就可以知道函数改变了哪个地址。从而知道rap的地址。
知道了rap的地址，根据偏移量的就可以算出其他数据的地址了。非常简单。

alloc(A,B)的意思是，申请1块大小为B的内存A。
这里申请了2个内存，我们分别用来保存拦截代码和拦截到的数值。
registersymbol(A)的意思是，把内存A注册为地址。
这样就可以直接在地址列表中把A作为地址使用。
(这就好像，你可以和熟人说 "张三家""李四家"，人家也知道你说的是那条路的哪家人1样。)

原本005305bb:的代码是这样的
mov [eax+08],edx
mov esp,ebp

修改后变成了这样
005305bb:
jmp getrap
这个意思是，代码转到getrap这里继续执行
getrap就是我们申请到的地方，放着拦截代码。

拦截代码是这样的
mov [point],eax
mov [eax+08],edx
mov esp,ebp
jmp exit
仔细看看，会发现修改后的代码只比原来多了1行，就是mov [point],eax
point是我们申请的专门用来保存eax值的空间。
为什么保存eax呢，因为eax就是rap的地址。
保存之后，转回到原本代码的位置继续运行。

之后，就可以在地址列表中添加1个叫做 point的地址(其实这就是指针了)
这个地址存放的值就是rap的地址。

>>风色幻想 攻略秘籍专区