.jpg)
相信大家对这个插件都不陌生。比如你刚到家，你已经筋疲力尽了。你想打开电脑玩几个游戏。结果你脑子爆炸了，各种自我定位锁都锁了。视角。举报也没用。这是别人把快乐建立在你的基础上，那就说说那些反吧。这个的事情要追溯到2000年。当时星际争霸的开局计划，CS的视角，穿墙，让游戏完全失去了公平竞争的感觉。当时反的概念也呼之欲出。然后，随着PC端网游的兴起，很少有人再想玩或者谈论这些游戏，但是游戏插件却不断与时俱进。
在游戏开发过程中，每个游戏的客户端和服务器都会有固定的通信格式。游戏通信协议大多位于TCP层，有自定义的数据结构，插件开发者称之为包。下面简单列举一个战斗包来解释离线的原理。
例如，玩家1在与玩家2的战斗中向服务器发送了一个16字节的数据包，其中游戏开发者将该数据包的含义定义如下:
当服务器收到这个包时，会减少玩家2的血量4096点。如果2号玩家在还原后血量小于等于0，则判定2号玩家已经被杀死。此时服务器会返回一个包给玩家2的客户端，玩家2的客户端会播放一个动画，说明玩家2已经死亡。
以上逻辑，其实有大量漏洞。比如服务器要确定玩家最后一次释放技能号0001234是否在冷却时间内。再比如，服务器要确定玩家在战斗中造成的伤害和他的装备、法力、攻击力、暴击等是否匹配。，以及是否超过游戏本身限制的最大伤害。类似这种漏洞，每个游戏都会有，但不会那么明显。一些老游戏在这方面比较弱，所以漏洞比较多。
此外，在游戏开发过程中，游戏开发商所在公司的相关文件中都明确规定了数据通信的格式。这些文件是非常机密的。如果某些游戏开发商公司的安全性不够好，可能会造成游戏代码和文档的泄露。这些素材一旦流入开发者手中，很有可能在这款游戏中出现离线。
离线定义:在不打开游戏客户端的情况下，第三方程序直接与游戏服务器通信，模拟账号登录验证、角色选择、游戏进入、场景进入、战斗、怪物伤害等操作过程中的合法数据包，并发送给服务器。但是，服务器无法判断这些数据包是否是客户端发送的。即使有验证手段，插件开发者也很容易因为源代码被泄露而模拟服务器的各种验证机制。即使数据包在传输过程中被加密，由于源代码的泄露，插件开发者也能正确模拟数据包的加密方式。
离线多是靠游戏开发者泄露信息，模拟包类似于离线。原因是有些开发者本身可能就是游戏开发者，对游戏的逻辑相当了解。他们可以在没有源代码和通信格式数据的情况下，通过调试+抓包分析，分析出游戏中的一些关键数据包，利用一定的模拟签约技术，完成游戏本身所包含的功能。
这些插件大多需要在游戏中注入一个dll文件，利用dll获取与服务器通信的套接字句柄。在这个套接字句柄上，您可以向服务器发送有组织的合法数据包。这种在一些比较老的游戏中很常见，比如决战OL的挂机和挂机中的外呼功能和自动喝药功能，都是通过模拟外包的方式来完成的。
没有游戏客户端的源代码和一些游戏开发的经验，还是可以开发的。这些插件开发者一般精通操作系统的各种底层机制，如模块、线程、内存、内核对象、内核机制等技术。这些技术帮助他们分析游戏客户端进程中的逻辑和重要数据，然后他们通常会在游戏进程中注入dll来操作游戏进程中的数据，完成一些特殊的功能。当遇到一些变化而服务器只是不检查时，它们的插件功能就成功执行了。
对于单机游戏:游戏中的大部分参数(如血、蓝、能量或金币)都存储在电脑的堆栈中，一些类似剧情进度的被加密写入本地自定义配置文件；所以单机插件的原理是修改本地配置文件。
1.修改内存数据的原理:服务器存储了大量的重要参数，但是由于客户端不可避免的需要大量的计算和资源加载，本地内存中必然存在一些临时变量。通过判断这些变量的变化规律和函数的秘密，找到对自己有利的参数，比如破坏值，然后找到这个变量的内存地址，根据指针偏移量分析得到内存基址。然后利用Windows API将自定义值写入内存块，完成修改某个值的操作。一般来说，只要破解了一个值，使用该规则就更容易破解其他值。
2.拦截网络数据包的基本原理:互联网客户端/服务器通信一般采用TCP/IP通信协议，通过传输IP数据包实现数据交换。一般来说，客户端向服务器发送一些请求，比如移动和战斗指令，都是以包的形式与服务器交换数据。然后我们把本地发送的消息叫做SEND，意思是发送数据。服务器收到我们发来的消息后，会按照既定的程序反馈相关信息给客户端，比如移动坐标，战斗类型等。客户端从服务器收到的相关消息称为RECV。接下来要做的就是分析客户端和服务器之间的数据(也就是数据包)，这样我们就可以提取有用的数据进行修改，然后模拟服务器发送给客户端，或者模拟客户端发送给服务器，从而达到修改游戏的目的。
1.1包的概念本文提到的包是指通过sockets协议发送和接收的包。广义的数据包是指计算机之间相互通信的数据包，由于通信协议不同，其内容可以不同。1.2破解原理目前破解包加解密算法的方法主要是通过动态调试技术来实现。它的原理是通过动态调试跟踪并取出加解密算法的代码段，然后通过分析这些代码最终得出结论。
内存挂就是内存挂。内存挂机主要用来验证游戏数据，比如伤势，移动速度，血量等。比如说之前流行的变速档(CE修改内存)，早些年游戏没有验证的时候，几乎是想跑多快就跑多快。现在已经和谐了，和谐的方式也很简单。计算一个人物的速度，然后取人物一个坐标到另一个坐标的距离，有一定偏差。伤害，血值，都差不多。任何数据都有算法计算是否超过预期的最大值。
2.透视:读取内存中的数据坐标，在屏幕上画出应该对玩家隐藏的信息。在OBS推流中，如果你只选择推流游戏，那么这种& # 34；信息& # 34；只有现场直播的广播员才能看到。
总结:如果你能完美忽略枪口跳动时的随机左右偏移，基本上可以把它想象成读取记忆的压力枪。透视的发现要困难得多，但不管装多少图像，最终目的肯定是要从这个功能中获益。自动瞄准头最容易找到。
修改记忆/包类:同时杀多人，瞬移，打超人，不被圈外伤害。
总结:通过修改内存和包，可以实现各种疯狂的功能，而且很容易被屏蔽，很容易被看到。
1.严格加密服务器上的数据库，每天自动更新随机密码。经常检查数据包，验证结果以服务器为准；
(3)对于od调试客户端，没有完全有效的方法。一般就是加一些花哨的说明和外壳。这些方法对于大量的低级插件作者来说已经足够了；
(4)很多游戏会检测PE、OD、钥匙精灵、简单之旅等。，主要是枚举窗口名和进程名。有这些名字的会被屏蔽，但是这种低级的方法效果不大。
(5)按钮式插件检测。对于后台脚本，GetCursor、GetForegroundWindow主要用于检测窗口位置和鼠标位置是否正确，其中一部分用于处理WM_ACTIVE消息(神武就是这么做的)。前台脚本除了转移鼠标没有更好的办法，但这种转移对普通玩家并不友好，也影响了游戏公司对玩家的留存。
(6)对于某些人来说，检测鼠标点击位置的重复大多是自己的猜测，容易导致假封。
除了少数通用插件(如键盘模拟插件、通用加速插件)外，大部分插件在制作前都需要对游戏逻辑和数据进行动态调试和静态分析，找到关键逻辑和数据的位置，才能对游戏进行修改。所以游戏逻辑的反调试和保护是抵御游戏的有力手段。
一旦游戏的关键逻辑和数据被黑客分析出来，黑客就会通过编程修改游戏客户端。在修改游戏进程时，往往会通过ReadProcesemory、WriteProcesemroy等一些系统函数，或者在游戏进程中注入dll来修改游戏内存。因此，保护游戏内存和扫描恶意模块是进一步防止和被动检查的有效措施。
Virbox反系统，针对游戏安全问题，采用静态防护和动态防护相结合的方式，抵御和打击，为端游保驾护航。目前只支持Windows系统。
Virbox Protector是自主研发的虚拟机外壳，用来保护游戏的代码逻辑。强大的虚拟机保护和专为Unity游戏设计的独特Unity3D保护，极大地阻碍了游戏的逆向分析，有效遏制了的产生。
现代反编译工具变得越来越强大。即使是用C/C++等静态语言编译的程序，也能把代码还原到和源代码几乎一样。没有代码保护，游戏客户端的代码逻辑暴露无遗，黑客很容易找到攻击的位置，使得插件的编写成本非常低。
Virbox Protector可以通过混淆、虚拟机、代码加密等方式保护游戏中指定的功能。受保护的代码无法自动恢复，黑客需要几十次或几百次的时间来分析这些令人困惑和虚拟化的指令。保护游戏客户端的关键功能。每次客户端更新，黑客都需要大量的时间来重新分析受保护的代码。
采用了大部分插件高级功能& # 34；内存补丁& # 34；修改游戏模块的方式，Virbox Protector有内存检查功能，可以检查游戏代码，防止打补丁。(该功能目前不支持Unity3D游戏)
Unity游戏是用C#写的。相比用C/C++开发的游戏，Unity游戏更容易被黑客分析。在Assembly-CSharp.dll可以使用DnSpy、Reflector等工具直接反编译代码，游戏代码中的变量和函数名清晰可见。
Virbox Protector对Assembly-CSharp.dll中的所有方法进行加密，只有当方法被编译成汇编代码时才解密，因此黑客无法转储原始代码。
Virbox反插件引擎是一个驱动程序级的进程保护系统。系统结合了主动防御(反调试、内存保护、反注入、钩子检测等。)和被动防御(窗口检测、内存特征扫描等。)来动态保护游戏进程。Virbox防堵塞引擎的主要功能如下:
要写一个或者盗版补丁，首先要做的就是用调试器(比如OllyDbg、x64dbg、Windbg、作弊引擎等)调试软件进程。)并分析关键代码逻辑和数据。Virbox反插件引擎调试并检测受保护进程，阻止内核调试器(如WinDbg)调试Virbox反插件引擎本身，使得各种调试器失效，极大阻碍了逆向分析进程。
黑客在分析软件时，除了调试之外，还会通过内存搜索的方式(比如使用作弊引擎)定位关键数据的内存。另一方面，大多数插件或盗版补丁会通过另一个进程修改内存。Virbox反插件引擎采用驱动级内存保护，防止其他进程读写和修改被保护进程，从而保证被保护进程的安全性。
除了跨进程内存访问，还可以通过注入Dll或外壳代码来修改进程内存。Virbox反插件引擎通过内存保护和监控模块加载拦截大部分注入方式，配合内存特征检测功能拦截非法模块。
安全一定要注意。反本身就是伴随游戏整个生命周期的问题，你遇到的问题也是其他游戏开发者遇到的问题。可以先行一步，解决反的问题，可以领先其他开发者一大步。