文档介绍：易口令-动态口令动态密码手机令牌OTP网络游戏安全小议(端游、页游、手游)一直很想知道魔兽的游戏安全工程师是如何做游戏安全的,毫无疑问,魔兽是目前最流行的网络游戏,有着众多经验丰富的黑客在利润驱动的情况下以这款游戏的外挂作弊技术谋生,咨询过一些做游戏安全的,都倾向于将防御手段隐藏起来,因此在游戏安全研究上基本靠游戏黑客提供资料。网络游戏安全很有意思,首先网络游戏安全代表了最高的软件技术(想想MMO可是数以十万计的用户在实时交互,多大的挑战),其次网络游戏的虚拟经济和现实经济之间存在直接的联系(想想淘宝上游戏点卡,游戏道具,游戏代练交易,多大的利益诱惑),再次网络游戏安全的重要经验可以直接适用于其他软件(通用性对安全工作者很有帮助),最后游戏安全不仅是技术问题也是法律问题,例如对游戏破坏者的法律制裁,如何平衡玩家隐私权利以及如何保护游戏不被破解(例如使用rooktkit技术检测玩家电脑是否有游戏破坏程序运行的方法涉及个人电脑隐私问题,当然这点也是杀毒软件面临的问题)。网络游戏安全将信息安全的大多数方面的串联起来了。例如网络帐号的安全(游戏拖库),网络充值的安全,网络服务器的安全这些属于网络安全的领域;例如客户端的安全,反调试,反逆向,反Hook属于软件安全的领域;还有其他的,例如游戏欺诈(冒充工作内容骗取帐号密码,钓鱼网站,帐号纠纷),内部员工(GM的事件爆的最多)非法交易,游戏分级(儿童游戏保护,防沉迷系统)。游戏外挂的逆向分析以及外挂检测与防御就与杀毒行业非常像(想想恶意软件样本分析,游戏外挂对游戏而言就是病毒)。简单的说优秀的游戏安全工作者要既是hacker也是cracker,既要懂技术也要懂侦查。二、游戏攻击手段博客中有介绍过手游与页游的攻击方法及相应的工具,但没有端游的(我没有端游的安全工作经历,这也是没法说自己是个游戏安全工作者的原因,我觉得没做过端游安全的不是真正的游戏安全工程师),从游戏的共性来说,网络游戏的本质就是客户端与服务端的数据通信,攻击的对象就是一系列的数据,游戏安装生成的客户端数据(可执行文件,动态链接库,存档文件,资源文件),游戏运行时在进程中的数据、界面数据、时钟数据,游戏通信时从网络接口流出的数据。我们知道游戏的攻击手段(外挂)总的来说为以下几种:,例如精灵对战类游戏的自动打怪外挂,、页游,手游都存在,对端游和页游在单机和弱联网时代比较流行,但随着网游的大方向,这种作弊手段的有效性逐渐弱化,,端游、页游,手游都存在,对端游和页游在单机和弱联网时代比较流行,但随着网游的大方向,这种作弊手段的有效性逐渐弱化,,分为脱机挂(不依赖于官方发布的客户端程序,由外挂完全模拟客户端去与服务器进行通信)、内挂(以游戏客户端程序为载体,依靠客户端程序来完成与游戏服务器的通讯),私服(与脱机挂相反,是完全模拟了官方服务器)。这种类型外挂一般都先通过逆向客户端得到协议(封包)生成算法,(windowssockets的应用程序接口)的send(),receive(),例如页游通过加速动画播放速度来