某厂游戏反作弊系统的小探

他乡

关于某大厂游戏反作弊系统的小探

前言:
  话说注册时间也不短了，在吾爱我汲取了不少营养！今天也来好为人师一次。
  近日，笔者在和同僚们交流经验时偶然谈到了一款游戏，这款游戏零几年就开始公测，也算是游戏中的老款了，有一位朋友说它的反作弊机制比较另类，遂与我对市面上的作弊软件进行了几天的研究，相关内容如下，望诸君友好交流，与游戏厂商齐进步，并遵守法律法规。

[相关程序(模块)]
相关模块及主要功能如下
QQSpeed_loader.exe   登录
GameApp.exe        主模块
Top-Kart.dll          游戏功能
GameRpcs.dll        反作弊先锋
TCJ.dll              程序特征收集
Network.dll          网络通讯
PolicyProbe.dll        机器特征收集

[上路]
1.调试
这款游戏于去年（2019）年底采用了新的驱动保护机制（保护程序为TGuard.exe），导致无法调试和进程内存读取/写入。不止为何于最近取消了。出于稳妥考虑，我进行了驱动层的处理，调试上路。
2.注入DLL模块
随便找了几个方法，发现劫持注入比较可靠。
3.分析 分析的入口点不大好寻找 这是朋友教我寻找到的切入点
在游戏内搜索6000可以找到相关的喷气加速值 可以一窥反作弊机制,如图



相关代码






代码混淆很严重，下断分析 发现有2套调用逻辑

两套都由GameRpcs.dll调用




继续分析，图一 跳过混淆层


继续，发现一循环调用 还带计数



我们往下分析，发现


首句判断是否在游戏中注释1111111的call 是混淆严重的检测call 并且有一些市面上的辅助对它进行了处理 不过 遂束手无策。 下一贴继续 且听笔者继续分解

kyrin

学习学习，现在看到飞车就想到老干妈

Hmily

这文章未免太短了些吧，实际也没看出来所以然，补充一下？

一切都是缘

最近没怎么关注鹅厂车里面的广告，不过网络上一片狼藉，估计跟以前鹅厂的作风问题有很大关系，看热闹不嫌事大。但鹅厂这种作风，对天朝的整个行业存在重大隐患，小一点的企业冻结资金，可能直接被搞死掉。

一切都是缘

楼主，你试试某跑XX车

点亮璀璨的星光

一切都是缘 发表于 2020-7-11 10:58
楼主，你试试某跑XX车

卡什么车

好萌一只大辉宝

学习了，谢谢楼主

zxcvbnm12

张傻子 发表于 2020-7-11 11:12
卡暴风雪，一辆100，不出退款，如果你觉得便宜我还可以再加，如果你觉得可以，那么你当我前面什么都没有 ...

秀儿，找了半天找到你了终于

小白在这

改加速么？

SheepLaoWu

你是老干妈派来的吗