网络游戏安全简介 木马、外挂

小谷道

第一次发文，简单的聊一下游戏的安全，不足之处还请各位大神多多指点

游戏安全

1. 什么是游戏安全，游戏的安全包括哪些方面？

　　1.1 目前存在的游戏安全威胁？

　　游戏盗号木马、游戏非法辅助（外挂）

　　1.1.1 什么是游戏盗号木马？

　　盗号木马分为两类：钓鱼木马（骗）、技术型木马（偷）
　　木马的传播手段：游戏非法辅助捆绑、色情网站传播

　　木马的实现方式：

　　1. 钓鱼木马的实现方式
　　当你在玩游戏的时候弹出一个页面，提示你的帐号存在异常：要求你输入用户名、密码等信息

　　2.技术性木马的实现方式

　　简单的说就是在你在登录游戏的过程中，从内存中窃取用户名、密码等信息（这个时候你不会感到有任何的异常哦）。这里简单的窥探一下盗号木马技术：我们知道，当用户输入用户名、密码的时候，内存中必然会出现明文（假如用户按下‘A’，那么内存中必然出现‘A’这个字符，要不然怎么验证用户名密码呢，是吧？），而在这个时候如果我们安装一个钩子监听用户的按键，这个时候用户名、密码还不是手到擒来，嘿嘿。

　　木马的危害：

　　试想一下，你在玩一个游戏，投入了很多时间、金钱，终于练出一个高等级角色，有好的装备，这个时候你玩的很hi。而忽然有一天，等你登录游戏的时候，发现人物没了，或者装备没了，这个时候估计你想死的心都有了，失望无比，估计你再也不会玩这个游戏了。鄙人就有过这样的经历，辛辛苦苦练出一个高等级角色，结果号被盗，里面装备被洗劫一空，从那以后，我就再也没有玩过那游戏，伤心。

　　1.1.2 什么是游戏非法辅助（外挂）？  

　　外挂的分类：

　　1.从市场的角度来说，外挂可分为一下几类：

　　工作室内部使用外挂、市场上出售的收费外挂、网上免费使用的外挂

　　2.从技术的角度来说，外挂可分为以下几类

　　脱机外挂、注入外挂、非注入外挂

　　浅窥技术外挂的实现：

　　脱机外挂：

　　现在的网络游戏都有服务端、客户端，而玩游戏本质上来说就是从客户端往服务端发送数据，而这个时候，如果我们可以模拟客户端呢？也就是说，我们不用游戏的客户端，而是自己写一个客户端，让其与服务器进行交互，这个时候在服务端就会出现一个角色，还有各种装备，好吧，这是一件很恐怖的事情，你可能会觉得这种东西可能实现吗？这里就不得不提一种技术：逆向。通过逆向，你可以知道网络游戏服务端和客户端之间的通讯协议及数据包的封装，如走路的数据包是怎么封装的，打怪的数据包是怎么封装的，以及交易的数据包又是怎么封装的，当然这是一个浩大的工程。

　　注入型外挂：

　　相对与脱机外挂来说，注入性的外挂会比较简单的一些，因为他只需要实现特定功能即可，这里简单的以角色扮演游戏来简单的说明。当你在走路的时候，你会不会感觉走路有点慢，如果能瞬移是不是更好？当你打强大的BOSS的时候，如果能够无敌，不掉血是不是更好？当你和对手PK的时候，直接将对手秒杀又是不是会更好呢？当你在装备合成时候，每次都成功是不是更好？这些都是外挂常见的功能，从本质上来说都是通过修改程序的逻辑来实现，或者更简单的说，修改了客户端的代码。

　　非注入型外挂：

　　非注入型外挂指的是一些辅助工具，如加速器、按键精灵等工具。

　　游戏非法辅助（外挂）的危害：

　　游戏非法辅助的危害从其功能就可见一斑，他严重破坏了游戏的平衡，破坏了游戏的公平，导致玩家的流失。

2. 如何保证游戏的安全？

　　何为安全？安全是相对的，以盗号木马为例，如果写木马的成本高于木马带来的收益，那么就可以认为帐号是安全的。因此如何保证游戏的安全就成了如何提高写外挂、做木马的人的成本？这是一个运营的过程。

这里针对上述的几种威胁提出一些建议：

1.如何应对技术性盗号木马

　　在游戏开发的过程中，将登录过程独立成一个单独的模块，以方便更新、对抗木马，借此提高帐号的安全性。

2.如何应对脱机外挂

　　提高网络传输数据的安全性，如使用多套加密算法，对游戏的关键处理函数进行加密处理，定期更换加密算法，增强对客户端发送数据的校验。

3.如何应对注入型外挂      

　　对游戏关键逻辑的处理函数进行加密，增加外挂作者分析的难度，游戏中增加一个模块用户扫描，以保证游戏客户端的代码不可修改。

4. 如何应对非注入型外挂

　　游戏中增加一个安全模块，对这些辅助进行扫描及在游戏过程中对这些功能进行禁用。

3.小结

　　无论是帐号安全还是反外挂，主要的安全威胁还是在于玩家会主动使用外挂，这使得杀毒软件变得无用武之地（在外挂使用过程中，外挂一般会唆使玩家关闭杀毒软件），因此游戏的安全还在于游戏本身，如何防止自身的游戏逻辑代码被修改，如何防止自身安全检测方案被修改，这些才是游戏安全的关键。当然，这是从技术的角度上来阐述游戏安全，另外还有策略的检测，策略千变万化，因此不再详细赘述。

[em1] [em1] [em1]

虐包子

阅，不懂，路过那分！

wangdawumfc

给分很合理

qq19207158

看了增长了见识

服务器开发

一个全民盗版的国度里谈游戏安全？笑话~

妞你爱不起

学习一下~~

hxjdl

没有做不出外挂的游戏。所以多在用户行为分析上下功夫吧。同时，千万别搞什么绑定金什么的，那样会损失很大一部分用户。不要为了限制外挂而影响到普通用户的游戏体验。特别是验证码什么的，当然几十万或百万在线不在此列。
重点:变态外挂是需要坚决，即时，彻底的打击。

zhouxiaopeng

看过，略懂，拿分，混脸！