但是不管哪种方式我们都需要分析进程内存，我们写外挂是不知道程序的源代码，能了解到的就是汇编编译器放汇编出的汇编代码（以后再说）。最主要我们需要知道我们感兴趣的东西放在进程空间的哪个内存地址中（这里的内存肯定不是物理内存，现在的一般32位系统都是在保护模式下的而非实模式）。为了查找内容放在的内存地址，我要介绍一款内存神器，这是外挂界的法宝之一，CE。CE不仅能查看内存还能修改内存内容。我们现在就开始学习CE的使用技巧。这里就以QQ为例吧。查出QQ消息发送之前的信息放在内存的什么地方。查到了我们就可以动态修改发送之前的消息，这样我们就可以发送我们想要的任何信息而不需要通过qq.首先打开QQ发送窗口写一些信息，就写“Egojit”，打开神器CE。界面如下：
第一步：点击小电脑打开进程列表附件我们的QQ进程。
第二步：点击打开我们附加的QQ进程
第三步：（如下图）在数值中输入我们在QQ消息发送框中输入的&34;
第四步：点击CE中的首次扫描（一定要选字符串）
首次扫描后悔出现很多内存中都有“Egojit”这时候我们需要做的就是第五步
第五步：改变QQ发送框中的信息为&34;，并且修改文本为“Egojit1”，别点击“新的扫描”，而是点击“再次扫描”。再次扫描就是在第一次的结果上再筛选
这次得到一个地址
这是为什么呢？？其实很容易理解。因为请对比修改前的类型和修改后的类型一个是String[7]，修改后的是String[8]。这个时候你会知道QQ消息显示框有一种限制，就是防止这种修改发送。（个人猜测）。不用怕。既然有限制，那么QQ内存中肯定有相关的存储计数器。再通过CE去查询，这个时候不是查询字符串了，这个时候查询int.而且查询是一次新的查询。以上种种都是猜测。这个时候用CE去验证猜测。QQ发送框中现在有“gaolu12”，数一下是7个字符。第一次查询：
大家很容易看到第二次筛选后还有14条结果。我们继续这样筛选。最后我们不管怎么筛选都还有11个结果。
