电子游戏的黑白之战：游戏黑客与反作弊机制的军备竞赛

相关阅读

视频讲解

你是否曾经好奇过电子游戏里的外挂是如何一路狂奔，而游戏开发商又是如何打击他们的吗？在这一期的视频中，我们将带你进入电子游戏的核心——内核，揭秘这场隐藏在你电脑背后的黑白战争。从电子游戏诞生以来，黑客与反作弊开发商的军备竞赛就一直在进行。读写内存曾经小菜一碟，但现在，情况变得复杂许多。许多流行电子游戏开始采用内核级反作弊，这些程序运行在你计算机的最特权位置，监视你的一切行为。你知道你的操作系统的核心是什么吗？你的电子游戏是在哪个空间运行的？什么是内核驱动，为什么当它出问题时，你的整个操作系统会崩溃？让我们一起深入沙盒环境，探寻这些问题的答案！

相关资料

• Visualstudio https://visualstudio.microsoft.com/zh-hans/
• Vmware Player https://www.vmware.com/products/workstation-player.html
• Windows WDK https://learn.microsoft.com/en-us/windows-hardware/drivers/download-the-wdk
• Windows 11 iso https://www.microsoft.com/software-download/windows11
• kdmapper Github项目地址 https://github.com/TheCruZ/kdmapper
• 绕过反作弊相关资料 https://www.unknowncheats.me/forum/anti-cheat-bypass/
• Windows驱动样本 https://github.com/microsoft/Windows-driver-samples
• km-um-communication Github项目地址 https://github.com/adspro15/km-um-communication

图文讲解

自电子游戏诞生以来，游戏黑客就一直存在，从那时起，黑客和反作弊开发商就一直在进行军备竞赛，不断试图超越对方。几年前，事情还相当简单。对于几乎所有的电子游戏来说，读和写进程内存的工作都很顺利。

但如今却不能这么说。大多数大型竞争性电子游戏已经开始采用内核级反作弊。

这些程序在你的计算机上运行在最特权的位置，它们几乎可以监视你的一切行为。

在每个操作系统的核心，你会发现一个内核。

这是一个程序的集合，负责使你的计算机运作。你的计算机是一个物理对象

在一天结束时，你的操作系统负责使该对象成为软件运行的平台，当你在玩电子游戏或浏览互联网时，你是在一个我们称之为用户模式的空间中运行。

你日常使用的应用程序对你的操作系统整体上的控制非常少。当你运行一个程序时，内核将分配资源，并为你的应用程序创建一个沙盒环境，以便在其中运行。

这意味着，如果出了问题，应用程序可以安全地崩溃并重新启动。

不过，对于内核来说，情况就不一样了。在内核中运行的程序被称为驱动，每个驱动都共享相同的内存空间。

当内核中的驱动出现问题时，你会得到一个极好的蓝屏死亡。你的整个操作系统就会崩溃。

在我们继续之前，今天的视频是由Brilliant.org赞助的。在我看来，成为一个程序员是一个学习如何解决问题的问题，而这正是我与Brilliant合作的原因。Brilliant是一个在线问题解决平台，致力于教你如何以有趣的互动方式思考。他们的课程大小适中，切中要害，以大量的视觉和互动资产为重点，支持你的理解。Brilliant提供了数以千计的精心策划的课程，涉及广泛的主题，从Python编程到字面上的天体物理学。我决定花点时间，把他们关于搜索引擎的课程看一遍，因为这是我不太了解的一个话题。我必须说，我现在对这些程序的复杂性有了新的认识。更不用说了，这门课程让我回答了多项选择题，甚至还在他们的搜索引擎的例子中捣乱。所以，无论你是想在考试中取得好成绩的学生，还是想提高技能的专业人员，你都可以通过访问brilliant.org/cazz，免费试用Brilliant提供的一切，为期30天。或者点击下面描述中的链接，你们中的前200人将得到Brilliant年度高级订阅费的20%。

感谢您的收听，让我们回到视频中来。当你想运行一个用户模式的应用程序时，操作系统会分配虚拟内存给该应用程序使用。

对应用程序来说，这些内存是真实的。但是，操作系统实际上是在创建一个虚拟化的环境，不仅是为了防止蓝屏，也是为了安全原因。通过给每个应用程序提供自己的一块虚拟内存，它们都不能相互访问，除非你通过内核。当你想作弊时，修改或利用没有反作弊的简单游戏，过程非常简单。

你可以使用Windows API在你的计算机上循环浏览进程，找到你的目标应用程序。

然后，你可以通过调用打开进程来获得该进程的句柄，一旦你有了句柄，你就可以使用读写进程内存来修改游戏的内存并进行你的黑客攻击。

不过这个过程有一个明显的问题。为了概念化这个问题，你必须明白，当你调用一个Windows API函数时，该函数

会发出一个叫做系统调用的东西，这是一个给操作系统内核的指令。

记住，你的游戏和你的黑客攻击是在用户模式下运行的。你在用户模式下调用Windows API函数，而这些函数正在向内核发送请求。Windows API是公开的，而且非常好理解。因此，运行在极高权限级别的内核反作弊软件很容易监视你所有的Windows API调用。

你需要一个破解游戏的内核驱动的原因是，你可以规避Windows API的使用。

这一点非常重要，因为内核反作弊可以非常、非常容易地监控和阻止Windows API的使用，而且他们确实如此。

内核反作弊不允许你在他们的游戏中调用读和写进程内存。这很简单。

绕过这一点的唯一方法是创建你自己的读写进程内存的版本，这样反作弊器就不能轻易监控你要做的事情。当进入内核开发时，首先要了解的是，驱动程序本身基本上是无用的。驱动程序是与用户模式的应用程序打包在一起的。驱动程序是以一种类似事件的方式设计的。它们大部分时间都处于休眠状态，只有在收到来自用户模式的请求时才执行动作。有很多方法可以实现用户模式和内核模式之间的通信，每一种都有自己的优点和缺点。

有时，你甚至不需要通信，这取决于你要做什么。如果你是个新手，看看IOCTL通信可能对你有帮助。

但从长期来看，这并不是一个很好的选择，因为它很容易被发现，因为它太常见了。另一种流行的通信方法是通过套接字，因为无论如何这都是内核调试的方式。

套接字的1个问题是它们相当慢，至少与我最喜欢的1种通信方法–数据指针钩相比是如此。

数据指针钩子绝不是完美的，但它们肯定能完成工作，至少对我来说是这样。如果你有兴趣，我将在下面留下一些资源供你查看。要开始进行驱动开发，你需要Visual Studio

我推荐他们的最新版本，即2022。

一旦你有了Visual Studio，确保安装C++桌面开发模块，因为Windows驱动通常是用C或C++编程的。

你还需要进入各个组件选项卡，为你要构建驱动程序的平台安装Spectre-mitigated的库。

最后，你要安装Windows驱动套件，简称WDK

链接在下面，因为Visual Studio默认不能构建驱动。这将安装一个扩展，使Visual Studio能够与驱动程序一起工作。

如果一切顺利，你应该能够创建一个内核模式的驱动框架驱动。

早些时候，我提到过，当驱动程序出错时，整个操作系统会崩溃，导致蓝屏死亡。

如果你的台电脑每次出错都会崩溃，那就不可能制作驱动了，所以这个问题主要有两个解决办法。要么你需要另一台电脑来测试驱动程序，要么你需要一个虚拟机。

如果你选择后者的虚拟机路线，我想推荐VMware，特别是VMwarePlayer，因为它相当轻巧和简单，但最重要的是，它对非商业的个人使用完全免费。

你可以直接从微软下载安全和免费的Windows 10和11的副本。

你应该得到一个扩展名为ISO的磁盘镜像文件，你可以在VMware Player中加载。

只是给你一个小建议，如果你使用VMware，点击左上角的播放器下拉菜单，选择管理，然后安装VMware工具。

这增加了非常有用的功能，让你从你的主电脑拖放文件到虚拟机中。

这样，你可以建立你的驱动程序，然后把它拖到虚拟机中进行测试。

相当酷。在这个视频中，我最后想谈的是驱动程序的签署。

由于明显的安全原因，Windows并不只是让你随时运行驱动程序。目前在你的电脑上运行的驱动程序已经由微软进行了数字签名，这需要花钱。为了测试你的驱动程序，你可以在Windows上启用驱动程序测试签名，这将让你加载未签名的驱动程序。

但如果你开启了测试签名，大多数反作弊软件甚至不会让你启动游戏。

你可以付钱让你的驱动程序签名、或者你可以用KDMapper这样的工具免费手动映射驱动程序。

总之，女士们、先生们，感谢你们的观看，我希望你们喜欢这个视频。如果你做到了，请随时给我点个赞并订阅。像往常一样，向下面的赞助人喊话，你们真了不起。期待未来有一个完整的驱动程序教程，我下期再见。干杯。