网络游戏安全小议

admin管理员组

文章数量:1530959

2024年7月12日发(作者：)

安全咖啡屋　

４２　

计算机与网络创凝生活　

嘲络　游藏　安垒拳诚　

网络游戏安全　

一

（ＧＭ的事件爆的最多）非法交易，游　弊手段，分为脱机挂（不依赖于官方　

直很想知道魔兽的游戏安全　

戏分级（儿童游戏保护，防沉迷系　

发布的客户端程序，由外挂完全模　

工程师是如何做游戏安全的，毫无　统）。游戏外挂的逆向分析以及外　拟客户端去与服务器进行通信）、内　

疑问，魔兽是目前最流行的网络游　挂检测与防御就与杀毒行业非常　挂（以游戏客户端程序为载体，依靠　

戏，有着众多经验丰富的黑客在利　像（想想恶意软件样本分析，游戏　客户端程序来完成与游戏服务器的　

润驱动的情况下以这款游戏的外挂　

外挂对游戏而言就是病毒）。简单　

通讯），私服（与脱机挂相反，是完全　

作弊技术谋生，游戏黑客的作弊技　

能在《网络游戏安全解密》这本书里　

的说优秀的游戏安全工作者要既　模拟了官方服务器）。这种类型外挂　

是ｈａｃｋｅｒ也是ｃｒａｃｋｅｒ，既要懂技术也　

一

般都先通过逆向客户端得到协议　

（封包）生成算法，然后ｈｏｏｋ　ｗｓ２＿３２．　

ｄｌｌ（ｗｉｎｄｏｗｓ　ｓｏｃｋｅ￣的应用程序接口）　

有提到（这是目前为止唯一的质量较　

要懂侦查。　

高的游戏安全专１．］书籍），但游戏安　

全工程师是如何防御的就比较神秘　

了。咨询过一些做游戏安全的，都倾　

游戏攻击手段　

笔者博客中有介绍过手游与页　

的ｓｅｎｄ（），ｒｅｃｅｉｖｅ０函数来重写封包；　

游的攻击方法及相应的工具，但没　

５．加速器常见与对战类游戏，　

向于将防御手段隐藏起来，因此在　有端游的（我没有端游的安全工作经　例如页游通过加速动画播放速度来　

游戏安全研究上基本靠游戏黑客提　历，这也是没法说自己是个游戏安　

快速对战；　

供资料。　

网络游戏安全很有意思，首先网　

全工作者的原因，我觉得没做过端　

６．安装包Ｐａｔｃｈ常见于端游与手　

游安全的不是真正的游戏安全工程　

游这种富客户端的，例如修改Ａｐｐ　

ｓｔｏｒｅ下载的ＩＰＡ包，去除掉版权保　

络游戏安全代表了最高的软件技术　

师），从游戏的共性来说，网络游戏的　

（想想ＭＭＯ可是数以十万计的用户　

本质就是客户端与服务端的数据通　

护还原加密部分，例如重打包Ａｎ—　

在实时交互，多大的挑战），其次网络　

信，攻击的对象就是一系列的数据，　

ｄｒｏｉｄ的ＡＰＫ包，使试用版变成完整　

游戏的虚拟经济和现实经济之间存　游戏安装生成的客户端数据（可执行　版（ｖｅｒｙｃｄ上一堆的破解端游）；　

在直接的联系（想想淘宝上游戏点　

文件，动态链接库，存档文件，资源　７．ｒｕｎｔｉｍｅ攻击（ＡＰＩ　Ｈｏｏｋ）常见　

于端游与手游这种客户端的，ＡＰＩ　卡，游戏道具，游戏代练交易，多大　

文件），游戏运行时在进程中的数据、　

的利益诱惑），再次网络游戏安全的　界面数据、时钟数据，游戏通信时从　ｈｏｏｋ运行中游戏进程，替换原始的　

重要经验可以直接适用于其他软件　

网络接口流出的数据，我们知道游　

动态链接库（ｉｎｄｏｗｓ上的ｄ１ｗｌ，ｉＯＳ上　

（通用性对安全工作者很有帮助），最　戏的攻击手段（外挂）总的来说为以　

的ｄｙｌｉｂ，Ａｎｄｒｏｉｄ上的ｓｏ），例如ｉＯＳ　

后游戏安全不仅是技术问题也是法　

下几种：　

律问题，例如对游戏破坏者的法律　１．自动化游戏端游和页游中广　

上的免费内购外挂；　

８．服务端配置漏洞例如未上线　

商品配置为可购买，例如过期运营　

活动未及时下线；　

制裁，如何平衡玩家隐私权利以及　

泛存在，例如精灵对战类游戏的自　

如何保护游戏不被破解（例如使用　

动打怪外挂，手游暂未出现该类型　

ｒｏｏｋｔｋｉｔ技术检测玩家电脑是否有游　

外挂；　

戏破坏程序运行的方法涉及个人电　

９．游戏逻辑漏洞例如游戏经济　

２．内存修改端游、页游，手游都　系统设计的漏洞（经济系统失衡），比　

脑隐私问题，当然这点也是杀毒软　存在，对端游和页游在单机和弱联　

如说可以通过创建多个小号将系统　

件面临的问题）。　

网时代比较流行，但随着网游的大　赠送的初始物品转移到大号上；例如　

方向，这种作弊手段的有效性逐渐　游戏中个人私密数值可以被其他玩　

家查看甚至修改；例如超级火爆的宠　

网络游戏安全将信息安全的大　

多数方面的串联起来了。例如网络　

弱化，是手游目前为主流作弊手段；　

帐号的安全（游戏拖库），网络充值的　３．存档修改同内存修改，端游、　物精灵对战游戏（魔兽都出了宠物对　

安全，网络服务器的安全这些属于　页游，手游都存在，对端游和页游在　战，可见有多火了）就会出现新捕捉　

网络安全的领域；例如客户端的安　单机和弱联网时代比较流行，但随　

的初始精灵未初始化而在某些操作　

全，反调试，反逆向，反Ｈｏｏｋ属于软　

着网游的大方向，这种作弊手段的　中大量获得物品；　

件安全的领域；还有其他的，例如游　

有效性逐渐弱化，也是手游目前为　

戏欺诈（冒充工作内容骗取帐号密　

主流作弊手段；　

码，钓鱼网站，帐号纠纷），内部员工　

１０．游戏运行平台的安全问题例　

如越狱ｉＯＳ设备与ｒｏｏｔ后的Ａｎｄｒｏｉｄ　

４．封包修改网络游戏的核心作　设备就破坏了原本的安全机制，使　

《计算＿杌与网络》２０１３年第Ｄ２期　

安全咖啡屋　

计算机与网络创新生活　

藏　锻密鹤谶翟　、援巧；　

重点问题Ｎｏ．１　

好记。　

专家支招：主要的依据是个人的　

“网上购物我至少得记忆淘宝密　重点问题Ｎｏ．２　

实际使用情况，除使用次数和转款　

码、支付宝密码、网银登陆密码、网　

“

一

直都不敢在网上支付，就是　

金额限制外。使用动态口令卡能够　

银支付密码、ｕ盾密码、支付宝支付　

怕黑客侵入将我卡上的钱全部划　有效防范“假网站”和“木马”病毒　

密码。这６个密码，如何能让他们安　

走。”　

窃取网银密码所带来的安全风险，　

全又好记？”　专家支招：常在网上购物的市　

提高网上银行交易的安全性。不过，　

专家支招：１、密码应该尽量地　

民，最好能够做到专卡专用。在开通　不是每家银行的口令卡都有预留信　

长一点。最好是字母＋数字＋键盘　

网银用于购物的卡上只放置少量金　

息，一旦钓鱼网站诱惑你成功登陆　

上特殊字符。此外，密码需要经常更　额。当然，也应该避免在公共场所使　后，就直接获取了你的账号、登陆密　

换，不能在很多地方都是一个密码。　

用网银转账功能。最好锁定家里的　

码，甚至诱骗你刮一次口令卡，然后　

２、永远不要用属于个人的信息　

一

台电脑作为转账专机，并且为其　盗取口令卡上的口令盗走账户的　

来创建密码。罪犯很容易猜到你可　下载各种专项查杀网银病毒软件。　钱。有了ｕ盾等于加了一把安全　

能用姓名、出生日期、身份证号、手　

早前国际电信联盟曾有报道称：网　

锁，即使客户的账号、密码等个人信　

机号、电话、邮箱或者其他类似的细　络用户如果使用相同用户名和密码　

息被窃，若没有ｕ盾，也无法将客　

节特征。　

在多家网站登录，重复输入这两项　

户资金转移。客户只要保证ｕ盾、ｕ　

３、不要用具体的单词。黑客能　

信息他们的身份遭到网络窃贼盗窃　

盾密码、账号、登录和支付密码这些　

用工具软件猜出你的密码。如今的　的风险会升高。所以管理好自己在　所有的安全措施不被同一个人窃取，　

密码猜测软件很快就能把可能的单　

各网站的登陆名也是关键点。　

资金损失的可能性几乎为零。可以这　

词都试一遍。建议设计一句英文名　重点问题Ｎｏ．３　

样说，ｕ盾是目前网上银行客户端安　

言或汉语拼言的名言，然后用单词　“我到底因该挑选口令卡还是ｕ　全级别最高的一种安全工具，只是价　

的首字母组成密码，这样既安全又　

盾，来支持我的网银？”　

格较高。　

得设备上运行的游戏需要考虑额外　招聘的，有专业做游戏代练或游戏　第一步：学会一种语言，ｖｃ＋＋最　

的威胁；　

虚拟物品交易的（现阶段的游戏黑客　好，ｃ≠≠也不错（ｃ≠≠适用于跨平台），虽　

１１．帐号安全属于ｗｅｂ常见漏洞；　

们都比较聪明的选择贩卖外挂服务　

然现在很多外挂都是Ｅ语言写的，　

１２．充值安全属于ｗｅｂ常见漏洞；　

而不是外挂本身，理由一，卖外挂的　不过最好还是学开发在用的语言；　

１３．游戏欺诈帐号归属纠纷，冒　

方式会让游戏公司的安全人员通过　第二步：会简单的分析游戏，可　

充游戏充值网站的钓鱼网站，冒充　外挂分析快速定位游戏漏洞并给予　以使用工具分析游戏窗口，控件，进　

游戏外挂（特别是号称可以刷游戏币　修复及相应的加固防御。理由二，卖　程，线程，ＤＬＬ模块，内存；　

的）的恶意软件，冒充官方工作人员　

外挂的方式会给法律投诉留下明确　第三步：熟悉ｗｉｎｄｏｗｓ　ＡＰＩ，可以　

骗取帐号，在游戏中发送恶意中奖　

的证据。理由三，卖服务的盈利次数　

编写进程线程操作，内存读写，鼠标　

信息；　

明显高于卖外挂），有专业做游戏私　

键盘模拟；　

１４．游戏服务器的拒绝服务攻击　服的（游戏私服很大程度上需要拿到　

第四步：学会用ｃｈｅａｔ　ｅｎｇｉｎｅ查　

大并发的请求拖垮服务器。　

源码，可以通过买通内部人员或社　

找动态内存基址；　

其中４封包修改最广泛，６安装　工入侵公司内外获得源码），有专业　

第五步：学会使用ｏＵｙｄｂｇ来调　

包Ｐａｔｃｈ和７ｒｕｎｄｍｅ攻击最据技术　做游戏盗号与钓鱼的，有以游戏外　

试游戏找关键ＣＡＬＬ找到一些关键　

含量（其实游戏外挂的最终形态还是　挂为噱头做广告流量的。　的功能函数人口地址，并分析出该函　

从内核操纵客户端）。　

游戏外挂制作　

数的参数，就可以编写ＣＡＬＬ代码，来　

游戏攻击产业　正面的来说通过学习外挂制作　直接调用游戏中的函数，让其实现自　

依靠游戏攻击盈利是一条很成　也能提高ｉｔ技能，例如要写一款基　动化；　

熟的产业链，有专门做游戏外挂制　本的外挂（以端游外挂为例），我们需　

第六步：学会编写ｃａｌｌ代码；　

作培训的，有专业做外挂制作人员　要掌握以下技能：　第七步：会加密解密封包。　

２０１３年第Ｏ２期《计算ｌ杌与网络》　

本文标签： 游戏外挂密码例如使用