网页设计与网站建设完全教程,自己制作wordpress plugin,网站服务器参数,不让网站开发公司进入后台一#xff0e;脱机类外挂 在游戏开发过程中#xff0c;每款游戏的客户端与服务端都会有固定的通信格式#xff0c;大部分游戏通信协议位于TCP层之上#xff0c;自定义的数据结构#xff0c;外挂开发者们称此为封包。下面简单列举一个简单的打斗封包#xff0c;以方便说明…一脱机类外挂 在游戏开发过程中每款游戏的客户端与服务端都会有固定的通信格式大部分游戏通信协议位于TCP层之上自定义的数据结构外挂开发者们称此为封包。下面简单列举一个简单的打斗封包以方便说明脱机类外挂原理。 0000ABCD 0000DCBA 00001234 00001000 例如玩家1在与玩家2打斗过程中发送到服务器这样一个16字节的数据包其中游戏开发者定义此数据包含义如下 0000ABCD玩家1的ID。 0000DCBA玩家2的ID。 00001234玩家1所使用的技能编号。 00001000玩家1对玩家2造成的伤害转换为十进制为4096。 当服务器接收到此数据包时则会将玩家2的血量减少4096点如果玩家血量减少后小于等于0则判定为玩家2已经阵亡。这时服务器会返回给玩家2的客户端一个数据包玩家2的客户端则播放一个玩家2已经死亡的动画。 以上逻辑其实存在着大量的漏洞比如说服务器应该判定玩家上一次释放00001234号技能是否在冷却时间内再比如说服务器应该判定玩家战斗过程中所造成的伤害是否与其装备、法力值、攻击力、暴击等相吻合是否超过了游戏本身限制的最大伤害。类似这种漏洞每一款游戏都会存在只不过不会这么明显。一些老游戏在这方面做的相对较弱所以漏洞更多。 另外在游戏开发过程中数据通信的格式在游戏开发商的公司中都有相关文档明确定义的。而这些文档非常机密。一些游戏开发商公司的安全做的不够好的情况下可能会造成游戏代码以及文档的泄露。这些资料一旦流入外挂开发者手中那么这款游戏就极有可能会出现脱机式外挂。 脱机外挂定义在不开启游戏客户端的情况下第三方程序直接与游戏服务器进行通信模拟账号登陆验证、选择角色、进入游戏、进入场景、开始战斗、对怪物造成伤害等操作时的合法数据包发送给服务器而服务器是没有能力判断出这些包是否是客户端发来的即便有验证手段由于源码已经泄露外挂开发者可以轻而易举的模拟出服务端的各种验证机制。即便数据包传送过程中是加密的由于源码外漏外挂开发者一样可以正确模拟出数据包的加密方式。 对于这种类型的外挂常见的屏蔽手段就是修改加密方式使得脱机外挂发送过来的数据包服务端无法解析或者解析出的结果是错误的而服务端发现客户端发送错误的数据包时则断开连接。此方法需要客户端与服务端同步更新。改动较大。 还有一种常见方法是在客户端中嵌入一些验证性代码与另外一个专门负责验证的服务端通信客户端必须正确作答后服务端方可认为是合法客户端发来的数据包。此类反外挂方式我们也会经常见到比如一些游戏中为防止挂机行为而加入的答题机制。 二模拟发包类外挂 脱机类外挂多半依赖于游戏开发商的资料外泄而模拟发包类外挂与脱机类外挂很近似。原因是一些外挂开发者本身可能是游戏开发者出身对游戏中的逻辑相当了解他们可以用调试抓包分析的方法在没有源码以及通信格式资料的情况下分析出一些游戏中关键的数据包并采用一定的模拟发包技术完成游戏中本身含有的功能。 此类外挂多半需要向游戏中注入一个dll文件并且用dll获取到与服务器通信的socket句柄在此socket句柄上将自己组织好的、合法的数据包发送到服务器。部分比较老的游戏中很常见此类的外挂比如决战OL中的挂机内挂中的喊话功能自动喝药功能都是模拟发包方式完成的。 防此类外挂的方法可以从数据安全的角度来做也就是更换数据包的加密方式但这种方式多半需要对游戏客户端和服务端进行较大的改动。我们也可以从技术角度来防此类外挂。既然需要dll注入我们采用合理的办法防止dll注入到我们的游戏进程中即可。后文中会详细分析注入与反注入相关技术。 三内存式外挂 在没有游戏客户端源码并且没有一定的游戏开发经验的情况下依然是可以进行外挂开发的。而这些外挂开发者一般熟练掌握操作系统的各种底层机制如模块、线程、内存、内核对象、内核机制等技术。这些技术有助于他们去分析游戏客户端进程中的逻辑和重要数据之后他们一般会注入dll到游戏进程去操作游戏进程内数据完成一些特殊功能。当遇到一些改动服务器恰好没有校验时他们的外挂功能便成功执行。 对于这种类型的外挂通常的反外挂方式是尽量让服务器端加入更多的校验。但是对于一些古老的游戏无人维护无人更新此方法很难行得通。 另外也可以在客户端对dll的注入进行限制当外挂开发者无法注入dll到游戏进程时那么他们也就无法完成对游戏数据的修改操作。
以上为按照外挂实现原理进行分类下面还有两大常见的外挂分类方式。 一有注入外挂 有注入dll的外挂我们采用防止dll注入的手段在客户端进行拦截。常规的注入dll方法需要经过OpenProcess、WriteProcessMemory、CreateRemoteThread等函数的调用任何一步的失败都会导致注入失败。而这些函数进入操作系统内核时是有固定的内核服务接管的我们在关键位置拦截住这些操作如果发起调用的进程不是游戏进程本身我们则拦截此次操作。 另外一种常见的注入方式为SetWindowsHookEx方式此类注入方法并不经过上述函数的调用而是由操作系统帮助完成dll加载也就是说dll加载是游戏客户端进程主动进行的此类注入方式用接管系统服务的方式无法拦截。但是此类注入时在游戏客户端进程中会得到一个回调我们接管这个用户态的回调对这种dll加载操作进行拦截。但系统中有部分dll也是使用此方式注入到所有进程中的所以此种方式拦截我们还需要对系统自身的dll进行放行比如msctf.dll、 ieframe.dll等。 二无注入外挂 此类外挂最常见的就是加速器类我们经历过的最常见的受此类外挂影响较大的是传奇。游戏中人物的移动速度、攻击速度、释放速度都是靠定时器实现的。而外挂如果能影响系统中的定时器功能则系统中所有进程都会受到影响。而这种外挂由于无注入我们无法拦截并识别。并且大多数的加速类外挂都使用了驱动是在内核中完成的。常见的加速器会HOOK内核下的KeUpdateSystemTime和KeQueryPerformanceCounter函数是的这两个函数的执行速度加快完成加速功能。 在我们的MMProtect游戏反外挂系统中加入了对内核级加速器的检测。由于MMProtect是内核级与应用层双检测所以有足够的能力对抗驱动级外挂程序。对于HOOK检测我们采用了自主研发的内核HOOK检测模块将内存中的代码段与硬盘文件中的对应位置做对比发现内存中与硬盘中不一致则检测到内核inline hook。及时通知应用层的反外挂模块并结束游戏提示玩家不要使用第三方辅助模块。
