UE5 逆向笔记#

说明：本笔记由原始记录整理而来，尽量保留原有结论、偏移、定位关键词和代码片段。
偏移会随游戏更新失效，实际使用时优先重新定位并验证。

目录#

SCUM 当前偏移
快速定位关键词
全局对象定位
UE5 核心数据结构
名称解析：FName 与全局名称表
骨骼坐标
可视判断：LineTraceSingle
自瞄角度计算
Hook 与远程线程
待整理 / 待补充

SCUM 当前偏移#

1
GName   : 0x75BFA40
2
GObject : 0x75FBF80
3
GWorld  : 0x7741DE0
4
Matrix  : 0x7274AD0

补充记录：

LineTraceSingle：先在 VS Code 中查看 SDK 偏移，再去 IDA 定位函数地址。
find_obj：通过项目中提供的字符串，再去 IDA 定位。
游戏更新后很多偏移都会失效，优先尝试重新定位或修改偏移。

快速定位关键词#

1
FName   : IntProperty
2
GObject : Max UObject count is invalid. It must
3
GWorld  : All Windows Closed
4
Matrix  : CanvasObject

全局对象定位#

GName / FNamePool#

目标函数：

1
static FNamePool& GetNamePool()

主要思路：

找到 FNamePool。
通过返回的 FNamePool 定位 GName。
FNamePool 内部存在 FNameEntryAllocator Entries;。
FNameEntryAllocator 底部存在名称块指针数组，是解析名称的关键。

相关截图：

GObject / GUObjectArray#

相关截图：

GWorld#

目标函数：

1
void UGameEngine::Tick(float DeltaSeconds, bool bIdleMode)

关键结构：

1
TArray<TObjectPtr<AActor>> Actors;

主要链路：

1
UWorld -> ULevel(0x30) -> TArray<AActor*> Actors(0x98)

相关截图：

Matrix / ViewProjectionMatrix#

目标函数：

1
void UDisplayClusterViewportClient::Draw(FViewport* InViewport, FCanvas* SceneCanvas)
2
static UCanvas* GetCanvasByName(FName CanvasName)

定位思路：

找到关键函数 GetCanvasByName。
找到 UCanvas 对象。
在 UCanvas 中定位 ViewProjectionMatrix。
程序会调用两次 GetCanvasByName，第二次调用才是目标。
在 CE 中查看第二个指针，通过晃动视角观察变动值。
当前记录中矩阵偏移为 0x280，内存中按单浮点查看。

UCanvas 相关成员：

1
public:
2
    FCanvas*    Canvas;
3
    FSceneView* SceneView;
4
    FMatrix     ViewProjectionMatrix;
5
    FQuat       HmdOrientation;

相关截图：

UE5 核心数据结构#

TArray#

1
template<typename T>
2
struct TArray {
3
    T   data;
4
    int number;
5
    int maxnumber;
6
};

FName#

通过 AActor + 0x18 可以看到 Name 占用 0x8 字节。

1
struct FName {
2
    int index;
3
    int number;
4
};

UE5 源码中的相关结构：

1
private:
2
    FNameEntryId ComparisonIndex; // 定位全局名称表，4 字节
3

4
#if !UE_FNAME_OUTLINE_NUMBER
5
    uint32 Number;                // 区分相同名称，4 字节
6
#endif
7

8
#if WITH_CASE_PRESERVING_NAME
9
    FNameEntryId DisplayIndex;    // 通常不参与编译
10
#endif

字段含义：

ComparisonIndex：用于定位全局名称表。
Number：用于区分名称表中相同名称的不同实例。
DisplayIndex：通常不参与编译。

UObject#

在虚幻引擎中，所有对象都会继承 UObject。

UObjectBase 中存在 FName 字段，用来保存对象名称。

1
UObjectBase() :
2
    ClassPrivate(NoInit),
3
    NamePrivate(NoInit),
4
    OuterPrivate(NoInit)
5
{
6
}

关键成员：

1
EObjectFlags ObjectFlags; // 4 bytes
2
int32        InternalIndex; // 4 bytes
3

4
ObjectPtr_Private::TNonAccessTrackedObjectPtr<UClass> ClassPrivate; // 8 bytes
5
FName NamePrivate; // 8 bytes

记录：

NamePrivate 在对象内的偏移通常为 0x18。
通过 SDK Dump 观察，游戏中的 UObject 大小约为 0x28。
CE 中对象开头的指针类型通常是虚函数表指针。

相关截图：

AActor 与角色继承#

僵尸类继承关系：

1
ABP_Zombie2_C
2
  -> AZomBie2
3
  -> AConZcharacter
4
  -> ACharacter
5
  -> APawn
6
  -> AActor
7
  -> UObject

类职责记录：

AActor：实现移动行为，提供灵活性，可用于投掷物、移动平台、门、物理对象等。
APawn：最简单的可控制移动对象，可用于载具、飞行器等。
ACharacter：拥有复杂移动逻辑，例如走、跳、奔跑、攀爬，常用于玩家和 NPC 角色。

常见组件：

1
CharacterMovementComponent  处理所有移动相关逻辑
2
CapsuleComponent            碰撞检测、物理模拟
3
SkeletalMeshComponent       骨骼网格相关组件
4
SkinnedMeshComponent        包含骨骼具体坐标数组

AActor 中的重要成员：

1
struct USceneComponent* RootComponent; // 0x130(0x08)

人物坐标信息通常从 RootComponent 中继续查找。

相关截图：

名称解析：FName 与全局名称表#

全局名称表相关结构：

1
// FNameEntryAllocator 全局名称表内存结构
2
// mutable FRWLock Lock;
3
// uint32 CurrentBlock = 0;
4
// uint32 CurrentByteCursor = 0;
5
// uint8* Blocks[FNameMaxBlocks] = {};

源码中的解析函数：

1
FNameEntry& Resolve(FNameEntryHandle Handle) const
2
{
3
    // Lock not needed
4
    return *reinterpret_cast<FNameEntry*>(Blocks[Handle.Block] + Stride * Handle.Offset);
5
}

解析步骤：

自定义 FName：

1
struct FName {
2
    int index;
3
    int number;
4
};

从源码确认 Stride、Handle.Block、Handle.Offset。
通过 GName 获取 Blocks。
通过对象内的 NamePrivate 获取 FName 值。
根据 Handle.Block 定位名称块。
计算 Blocks[Handle.Block] + Stride * Handle.Offset。
取出 FNameEntry 后读取 AnsiName。

示例伪代码：

1
auto Stride = alignof(FNameEntry);
2
auto EntryAddress = Blocks[Handle.Block] + Stride * Handle.Offset;
3
FNameEntry* NameEntry = reinterpret_cast<FNameEntry*>(EntryAddress);
4

5
return std::string(NameEntry->AnsiName, NameEntry->Header.Len);

GWorld + 0x18 示例：

调试示例：

1
char tst[] = {
2
    60, 2, 77, 97, 105, 110, 77, 101, 110, 117,
3
    82, 4, 79, 110, 67, 111, 110
4
};
5

6
auto Stride = alignof(FNameEntry);
7
printf("Stride [+]: %x\n", Stride);
8

9
FNameEntryHandle Handle = { 0x000A8726 }; // GWorld NamePrivate 的值
10
auto Stridel = Stride * Handle.Offset;
11

12
printf("Stride [+]: %x\n", Stridel);
13
printf("Handle.Block [+]: %x\nHandle.Offset [+]: %x\n", Handle.Block, Handle.Offset);
14

15
auto a = 0x23c;
16
FNameEntryHeader header = { 0x23c };
17
memcpy(&header, &a, 2);
18

19
FNameEntry* Fname_entry = (FNameEntry*)tst;
20
printf("%s\n", Fname_entry->AnsiName);
21
std::cout.write(Fname_entry->AnsiName + 2, 6);

骨骼坐标#

相关截图：

分析记录：

第一个函数与 FName 结构有关。
通过 if 判断是否获取骨骼成功。
之后通过函数获取结构体中的骨骼数组。
最后使用 GetOrigin() 取得坐标。

重要函数：

1
GetBoneMatrix(BoneIndex);
2
WorldTM.GetOrigin();

实现要点：

ToMatrixWithScale 可以参考 UE4 源码。
XMLoadFloat4x4A 可以在 UE4 源码中搜索。
XMMatrixMultiply 同上。

骨骼坐标读取示例：

1
FVector3D Mesh::GetBoneArray(int Index)
2
{
3
    // GetComponentSpaceTransforms()[ParentBoneIndex].ToMatrixWithScale()
4
    int CurrentReadComponentTransforms = Memory::Read<int>(ptr + Offset::CurrentReadComponentTransforms);
5

6
    Tarary<ULONG64> BoneArray{};
7
    if (CurrentReadComponentTransforms) {
8
        BoneArray = Memory::Read<Tarary<ULONG64>>(ptr + Offset::BonArray2);
9
    } else {
10
        BoneArray = Memory::Read<Tarary<ULONG64>>(ptr + Offset::BonArray1);
11
    }
12

13
    FTransform bonetf = Memory::Read<FTransform>(BoneArray.data + (Index * sizeof(FTransform)));
14

15
    // GetComponentTransform()
16
    FTransform ComponentTf = this->GetComponentTransform();
17

18
    FMatrix BoneMatrix = FMatrix::ToMatrixWithScale(bonetf);
19
    FMatrix ComponentMatrix = FMatrix::ToMatrixWithScale(ComponentTf);
20

21
    FMatrix result = FMatrix::VectorMatrixMultiply(&BoneMatrix, &ComponentMatrix);
22
    return FVector3D(FMatrix::GetOrigin(result));
23
}

骨骼索引：

1
int BoneIndexArray[] = {
2
    98, 3, 2, 9, 10, 97,             // 上半身
3
    27, 22, 21, 20, 42, 43, 44, 45,  // 下半身
4
    1, 16, 17, 20                    // 脊椎
5
};

绘制骨骼线示例：

1
void BrawBoneArray(AActor* obj, int start, int end)
2
{
3
    FVector4D point2{};
4

5
    for (int i{ start }; i < end; i++) {
6
        FVector4D point1{};
7
        FVector3D pos3 = obj->GetMesh().GetBoneArray(BoneIndexArray[i]);
8

9
        if (Engine::WorldToScrren(pos3, point1, false)) {
10
            if (i != start) {
11
                if (point2.x == 0.0f || point2.y == 0.0f ||
12
                    point1.x == 0.0f || point1.y == 0.0f) {
13
                    continue;
14
                }
15

16
                ImGui::GetForegroundDrawList()->AddLine(
17
                    { point2.x, point2.y },
18
                    { point1.x, point1.y },
19
                    IM_COL32(255, 0, 0, 255)
20
                );
21
            }
22
        }
23

24
        point2 = point1;
25
    }
26
}

可视判断：LineTraceSingle#

骨骼遮挡 / 可视判断函数：

1
LineTraceSingle

函数原型：

1
bool LineTraceSingle(
2
    struct UObject* WorldContextObject,
3
    struct FVector Start,
4
    struct FVector End,
5
    enum class ETraceTypeQuery TraceChannel,
6
    bool bTraceComplex,
7
    struct TArray<struct AActor*>& ActorsToIgnore,
8
    enum class EDrawDebugTrace DrawDebugType,
9
    struct FHitResult& OutHit,
10
    bool bIgnoreSelf,
11
    struct FLinearColor TraceColor,
12
    struct FLinearColor TraceHitColor,
13
    float DrawTime
14
);

SDK 记录：

1
Function Engine.KismetSystemLibrary.LineTraceSingle
2
(Final|Native|Static|Public|HasOutParms|HasDefaults|BlueprintCallable)
3
@ game+0x46ea700

自瞄角度计算#

基础角度计算：

1
FVector2D Aim_xy{};
2

3
FMinimalViewInfo info = Engine::GetplayerCamera(); // 获取 CameraCachePrivate
4
FVector3D diff = pos - info.Location;              // 目标位置 - 摄像机位置
5

6
Aim_xy.x = atan2(diff.z, sqrt(diff.x * diff.x + diff.y * diff.y)) * 180 / 3.1415926;
7
Aim_xy.y = atan2(diff.y, diff.x) * 180 / 3.1415926;

调试记录：

问题点：FVector3D pos = AimPlayer.GetMesh().GetBoneArray(86);
现象：pos 锁定的是玩家当前坐标，而不是僵尸坐标。
后续手动修改僵尸值后，成功锁头。
再次调试发现问题出在 AutoAim::SetAimPlayer(actor);。
原因：没有把代码写入过滤逻辑，大量未过滤的 actor 被传入 AutoAim，最先传入的是玩家本身。
使用以下输出确认：

1
printf("%s\n", Engine::GetName(AimPlayer.GetObjFName()).c_str());

输出结果：

1
BP_Prisoner_C

结论：需要先完成目标过滤，避免玩家自身被设置为目标。

Hook 与远程线程#

基本流程：

在目标进程中申请一段内存。
清空申请的内存。
构造 shellcode。
执行前保存寄存器，执行后还原寄存器。
使用写入函数把参数和 shellcode 写入目标内存。
通过远程线程执行。
等待线程结束并关闭句柄。
使用 VirtualFreeEx 释放申请的远程内存。

示例：

1
ULONG64 adr = Memory::alloc_mem(0x1000);
2
Memory::mem_zeor(adr, 0x1000);
3

4
// 构造 shellcode 后，以 adr 为基地址写入参数和代码。
5
// 写入时需要注意系统函数调用约定。
6

7
HANDLE handle = create_remote_thread(adr);
8
WaitForSingleObject(handle, INFINITE);
9
CloseHandle(handle);
10

11
BOOL freed = VirtualFreeEx(Memory::GetPid(), (LPVOID)adr, 0, MEM_RELEASE);
12
if (!freed) {
13
    DWORD err = GetLastError();
14
    printf("VirtualFreeEx failed: %u\n", err);
15
}

待整理 / 待补充#

ImGui 章节目前只有标题，后续可补充菜单、绘制、字体、热键、窗口样式等内容。
LineTraceSingle 可以补充实际调用封装、参数枚举与可视判断返回逻辑。
GName 可以补充完整的 FNameEntryHeader、宽字符 / 窄字符判断与读取逻辑。
GObject 可以补充对象遍历、对象数量读取、无效对象过滤。
GWorld 可以补充 GameInstance、LocalPlayer、PlayerController、Pawn、CameraManager 链路。
骨骼章节可以补充常用骨骼 ID 表，并按头部、躯干、手臂、腿部分组。
偏移建议按游戏版本或更新时间建立表格，避免新旧记录混在一起。

联系方式： https://t.me/+pyLg3pcwqOs4MGFl

音乐

UE5 逆向笔记#

目录#

SCUM 当前偏移#

快速定位关键词#

全局对象定位#

GName / FNamePool#

GObject / GUObjectArray#

GWorld#

Matrix / ViewProjectionMatrix#

UE5 核心数据结构#

TArray#

FName#

UObject#

AActor 与角色继承#

名称解析：FName 与全局名称表#

骨骼坐标#

可视判断：LineTraceSingle#

自瞄角度计算#

Hook 与远程线程#

待整理 / 待补充#

文章分享

评论区

音乐

音乐

文章目录