CN105024885A - 反外挂的网络游戏系统 - Google Patents

Abstract

本发明提供了一种反外挂的网络游戏系统，利用交换机将各客户端与游戏服务器之间的网络流量进行流量镜像复制后，抓包服务器接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；分析服务器接收并分析所述抓包服务器发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。由于确定异常用户是由独立于游戏服务器和客户端的分析服务器完成的，避免确定异常用户时对游戏服务器本身运行速度的影响，增强了游戏用户的体验效果。

Description

反外挂的网络游戏系统

技术领域

本发明涉及互联网技术领域，特别涉及一种反外挂的网络游戏系统。

背景技术

网络游戏构筑特定的游戏环境和规则，依托网络、提供多人同时参与的游戏环境和平台。其用户价值在于通过人与人之间的互动、对抗，达到交流、娱乐和休闲的目的。其核心特点在于实时在线、互动娱乐。在这里，网络特指互联网。由信息产业部、新闻出版署等机构发布的《2004年度中国游戏产业年报》显示，中国网络游戏市场规模和增长速度为全球瞩目，已成为中国出版业和信息产业新的增长点。同时，中国网络游戏行业的厂商数量、产品质量都呈现了上升趋势，其产业的发展也带动了通信、IT制造等行业的发展。目前，中国网络游戏厂商就达300余家。

艾瑞统计数据显示，2004年中国网络游戏用户达到1976万，即有19％的中国网民为网络游戏用户，预测到2007年，中国网络游戏用户将达到3731万，占网民比例的18％。随着网络游戏产业的快速发展，网络游戏用户中付费用户的比例和数量将有所增长。2002年，国内收费网络游戏用户数为350万，到了2003年，收费用户数增长了一倍，达到710万。2004年，收费网络游戏用户为1130万，占网络游戏用户的57％。预计到2007年，中国收费网络游戏用户将达到2255万，占网络游戏总用户数的60％。收费网络游戏用户的增长，将直接促进网络游戏行业市场规模的增长。来自信息产业部的相关行业报告显示，2004年中国网络游戏市场价值达24.7亿元人民币，比上年增长47.9％。预计2009年中国网络游戏出版市场销售收入将达到109.6亿元。

网络游戏在飞速发展的同时，也面临着严重的问题。相关报告显示，目前网络游戏的安全隐患主要包括外挂、封包、虚拟物品复制、入侵服务器、窃取数据库资料、木马及其他。在现存各种安全隐患中，外挂占据比例最大，其占据所有安全隐患的98％。外挂已经成了网络游戏的杀手，极大的威胁着网络游戏的发展。具体的外挂带来的危害如下：

1.破坏游戏平衡。借助外挂，部分使用者可以在违背游戏规则地情况下快速升级、快速积累财富、获得超常的战斗能力等等。游戏失去了平衡，就会使得很多没有使用外挂的玩家对游戏失去兴趣，进而离开游戏。有的玩家则在没有游戏平衡的前提下选择了一起使用外挂，从而形成了一个恶性循环。

2.给游戏服务器带来额外负担。部分外挂功能可以替代玩家进行极其快速的游戏操作，而每项这里面的操作一般都会被发送到游戏服务端进行相应反处理和反馈。过快的操作也就意味着服务端要处理超出预想很多倍的工作，这会直接的降低服务器的运行效率，从而使得所有玩家的游戏质量受到影响。

3.滋长了木马传播的可能。外挂是游戏木马的主要携带方式，99％的网络游戏盗号木马是绑定在其相应的网络游戏外挂上散播出去的。而木马可以盗取玩家的游戏账号、虚拟物品，直接的损害了玩家的利益、阻止了玩家正常游戏，迫使玩家在失望中放弃游戏。

外挂的主要形式有两种，一种是辅助外挂，一种是脱机外挂：

1.辅助外挂。辅助外挂总的来讲是在游戏者使用正常游戏客户端进入游戏的同时，针对正常的客户端进行某些协助性的操作、篡改游戏逻辑、修改游戏网络封包等等的一种工具。辅助外挂还可以细分为很多种类，但是往往一款成熟的辅助外挂会集各种功能于一身。辅助外挂是玩家进行亲身的游戏体验时经常使用的一种外挂类型。

2.脱机外挂。脱机外挂基本上可以脱离官方提供游戏客户端而独立运行。游戏时由外挂直接登陆游戏服务器模拟官方游戏客户端与服务器进行交互。这种外挂没有什么游戏性可言，但是它占用资源少、自动化程度高，往往可以完全替代玩家自动地进行所需的全部游戏操作。这就像是一群(并不只是一个)替代玩家进行游戏的必要劳动的机器人。玩家可以因此获得暂时的满足，却丧失了游戏体验的乐趣。严重时往往会导致大部分游戏世界被机器人占据，使得游戏世界变得冷清枯燥，极大的降低了玩家的游戏体验。

面对着外挂泛滥严重威胁网络游戏发展的局面，很多反外挂的方法出现了。从反外挂的技术方面讲，常见的反外挂的方式大概有以下几种。

1.网络传输数据加密。这几乎是现行各种网络游戏所必备的一种基本保护措施。它的防范范围是脱机外挂和修改游戏封包的辅助外挂。但是鉴于网络游戏对游戏流畅性的要求，此类加密不能采用具有很高安全性的复杂加密方法。加上网络游戏的客户端存在被反编译的可能，这种加密方法实际上只能起到使外挂的出现推后很短的一段时间的作用。

2.游戏逻辑复杂化。这类办法主要是针对脱机外挂以及部分篡改游戏逻辑的辅助外挂。将一些游戏逻辑在基本不改变实际操作的前提下从代码上使部分逻辑、数据难于分析和理解，甚至在游戏逻辑中添加各种信息、密码的校验，使得游戏的逻辑部分难以被仿照或修改。此种方法的缺点是实现非常麻烦，而且能复杂化的程度非常有限。需要较大的人力投入，并为以后的维护、开发带来了很多隐患。

3.玩家人工认证。这主要是针对脱机外挂和有全自练级功能的辅助外挂。典型的方式就是在游戏时随机弹出难以用程序自动回答的问题，要求玩家在限定时间内给出正确的回答。缺点是，这种手段存在着少量的误判可能，玩家有可能会一时疏忽给出了错误的答案；同时这种方法也会影响玩家的正常游戏，在一定程度上降低了游戏性。

4.破坏、阻止外挂程序。这只能针对一些已知的辅助性外挂，或者有明显特征的外挂程序。游戏运行时可以自动寻找并破坏、阻止这类的外挂。弊端是：针对范围很小，有可能外挂更新一次就要重新分析、制作并更新官方游戏客户端以防止新的外挂；同时，由于破坏操作的复杂性，强行去除外挂后游戏的稳定性也会有很多的潜在危险。

5.异常逻辑检测。这只能防范破坏了游戏规则的外挂类型。服务端对一些已知的逻辑上的漏洞加以检查，发现后加以惩罚或者封杀游戏角色、账号。这种方法的缺点是针对范围很小，而且有很高的误判几率。玩家在正常地进行游戏时，很有可能会由于种种极端情况、网络延迟等出现错误的游戏逻辑，从而被误判为外挂使用者。

发明内容

本发明的目的在于提供一种反外挂的网络游戏系统，以克服现有的网络游戏系统的不足。

为解决上述技术问题，本发明提供一种反外挂的网络游戏系统，所述反外挂的网络游戏系统包括：游戏服务器和多个客户端，所述游戏服务器和各所述客户端之间通过通信网络进行数据交互，还包括交换机，用于对各客户端与游戏服务器之间的网络流量进行流量镜像复制；

抓包服务器，接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；

分析服务器，接收并分析所述抓包服务器发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。

可选的，在所述的反外挂的网络游戏系统中，所述分析服务器包括策略模块，用于存储应对不同外挂形式的判定策略，以确定异常用户。

可选的，在所述的反外挂的网络游戏系统中，所述分析服务器还包括切分模块，用于根据当前游戏协议将连续的数据流进行切分，以获得完整的封包；

解密模块，用于解密所述封包，以获得封包明文，并将所述封包明文发送给所述策略模块。

可选的，在所述的反外挂的网络游戏系统中，当外挂形式为脱机外挂时，采用的应对的判定策略为：

判定用户请求开始关卡与最近一次请求关卡列表之间的时间差与预定阈值的关系，当所述时间差小于所述预定阈值时，判定当前用户为异常用户；当所述时间差大于等于所述预定阈值时，判定当前用户为正常用户。

可选的，在所述的反外挂的网络游戏系统中，所述预定阈值为正常用户请求开始关卡与最近一次请求关卡列表之间的时间差的1/10。

可选的，在所述的反外挂的网络游戏系统中，所述抓包服务器对所述镜像流量进行整流，以获得连续的数据流的过程包括：处理TCP/IP协议下的数据乱序、重传。

在本发明所提供的反外挂的网络游戏系统中，利用交换机将各客户端与游戏服务器之间的网络流量进行流量镜像复制后，抓包服务器接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；分析服务器接收并分析所述抓包服务器发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。由于确定异常用户是由独立于游戏服务器和客户端的分析服务器完成的，避免确定异常用户时对游戏服务器本身运行速度的影响，增强了游戏用户的体验效果。此外，分析服务器的策略模块可以根据需要进行判定策略的实时更新，降低了误判率。

附图说明

图1是本发明一实施例中反外挂的网络游戏系统的示意图；

图2是本发明一实施例中分析服务器的结构示意图；

图3是本发明一实施例中当外挂形式为脱机外挂时，分析服务器工作的逻辑流程图。

图中，

客户端10；游戏服务器20；抓包服务器30；分析服务器40；策略模块400；切分模块401；解密模块402。

具体实施方式

以下结合附图和具体实施例对本发明提出的反外挂的网络游戏系统作进一步详细说明。根据下面说明和权利要求书，本发明的优点和特征将更清楚。需说明的是，附图均采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施例的目的。

请参考图1，其为本发明一实施例中反外挂的网络游戏系统的示意图，如图1所示，所述的反外挂的网络游戏系统包括游戏服务器20和多个客户端10(具体包括如图1中客户端1、客户端2、客户端3…客户端n，n≥2)，所述游戏服务器20和各所述客户端10之间通过通信网络进行数据交互，还包括交换机(图中未标示)，用于对各客户端10与游戏服务器20之间的网络流量进行流量镜像复制；抓包服务器30，接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；分析服务器40，接收并分析所述抓包服务器30发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。其中，这里的分析包括但不限于对客户端10安全模块搜集的数据，游戏本身的行为数据的分析。

进一步地，所述抓包服务器30对所述镜像流量进行整流，以获得连续的数据流的过程包括：处理TCP/IP协议下的数据乱序、重传。

本实施例中，分析服务器40根据游戏协议(即游戏进行数据通信选用的通信协议)，对抓包服务器30发送的连续的数据流先后进行分包、解密、处理分析的过程，当发现有用户异常时，记录该用户的行为，并将相关信息提交给游戏服务端处理。具体请参考图2，其为本发明一实施例中分析服务器的结构示意图。为了实现分析服务器40的各项工作，如图2所示，所述分析服务器40包括策略模块400，用于存储应对不同外挂形式的判定策略，以确定异常用户；切分模块401，用于根据当前游戏协议将连续的数据流进行切分，以获得完整的封包；解密模块402，用于解密所述封包，以获得封包明文，并将所述封包明文发送给所述策略模块400。这里，对于判定策略可以根据需要进行更新，以应对不同情况，提高判定准确性。

为了较好的理解分析服务器40工作的逻辑流程，请参考图3，其为当外挂形式为脱机外挂时，分析服务器工作的逻辑流程。如图3所示，分析服务器服务器40会针对每个用户分别初始化用户的上下文，用户的上下文中包括了用户此次登陆的所有相关信息，以及用户行为分析所使用到的数据结构，初始化用户的上下文完毕之后，分析框架等待抓包拂去其发送的用户通讯的数据流，当收到数据流之后，根据游戏协义对数据流进行切分，获得一个完整的封包，这里对于后续的解密以及封包解析都是针对完整的游戏封包进行的。为了保证游戏通讯安全性，一般都会对通讯数据包进行加密，所以获得完整封包之后，就需要对封包进行解密，封包解密后获得封包明文后，会根据游戏通讯协议，获取封包类型以及封包中的字段值。

以上为通用步骤，所有规则分析都必经的步骤。而对于异常用户的判断，是由策略来确定，下面以外挂形式为脱机外挂时为例进行说明本申请的技术方案是如何实现对异常用户的判断的。当外挂形式为脱机外挂时，采用策略模块400中的应对的判定策略为：判定用户请求开始关卡与最近一次请求关卡列表之间的时间差与预定阈值的关系，当所述时间差小于所述预定阈值时，判定当前用户为异常用户；当所述时间差大于等于所述预定阈值时，判定当前用户为正常用户。获得应对外挂形式为脱机外挂时的判定策略的具体过程如下：

首先需要对当前外挂形式进行特征分析。由于用户进入游戏关卡前需要经历一下流程：首先需要先请求关卡列表(此时网络通信的状态为发送关卡列表请求包的过程)，接着选择关卡(此时网络通信的状态为发送关卡开始报包的过程)后，等到游戏场景资源装载完成后才能够进入关卡进行游戏。对于该流程，未使用外挂的用户(即正常用户)整个一个关卡选择到开始关卡需要至少3秒以上时间。而对于使用外挂的用户，例如使用脱机外挂者，由于脱机外挂程序整个流程是自动化选择，并且不需要资源装载的过程，往往这之间的时间间隔会被极大地缩短。因此，发明人基于此点发现，采用了上述策略对异常用户进行判定。其中，所述预定阈值为正常用户请求开始关卡与最近一次请求关卡列表之间的时间差的1/10。这里，对于策略模块400中存储的判定策略是根据现存的外挂形式的特征分析后制定的，此点对于本领域技术人员是可以理解的，此处不做过多的赘述。

综上，在本发明所提供的反外挂的网络游戏系统中，利用交换机将各客户端与游戏服务器之间的网络流量进行流量镜像复制后，抓包服务器接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；分析服务器接收并分析所述抓包服务器发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。由于确定异常用户是由独立于游戏服务器和客户端的分析服务器完成的，避免确定异常用户时对游戏服务器本身运行速度的影响，增强了游戏用户的体验效果。

上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (6)

1.一种反外挂的网络游戏系统，包括游戏服务器和多个客户端，所述游戏服务器和各所述客户端之间通过通信网络进行数据交互，其特征在于，还包括交换机，用于对各客户端与游戏服务器之间的网络流量进行流量镜像复制；

抓包服务器，接收手术交换机发送的镜像流量，并对所述镜像流量进行整流，以获得连续的数据流；

分析服务器，接收并分析所述抓包服务器发送的连续的数据流，以确定异常用户，并将分析结果反馈给游戏服务端。

2.如权利要求1所述的反外挂的网络游戏系统，其特征在于，所述分析服务器包括策略模块，用于存储应对不同外挂形式的判定策略，以确定异常用户。

3.如权利要求1所述的反外挂的网络游戏系统，其特征在于，所述分析服务器还包括切分模块，用于根据当前游戏协议将连续的数据流进行切分，以获得完整的封包；

解密模块，用于解密所述封包，以获得封包明文，并将所述封包明文发送给所述策略模块。

4.如权利要求3所述的反外挂的网络游戏系统，其特征在于，当外挂形式为脱机外挂时，采用的应对的判定策略为：

判定用户请求开始关卡与最近一次请求关卡列表之间的时间差与预定阈值的关系，当所述时间差小于所述预定阈值时，判定当前用户为异常用户；当所述时间差大于等于所述预定阈值时，判定当前用户为正常用户。

5.如权利要求4所述的反外挂的网络游戏系统，其特征在于，所述预定阈值为正常用户请求开始关卡与最近一次请求关卡列表之间的时间差的1/10。

6.如权利要求1所述的反外挂的网络游戏系统，其特征在于，所述抓包服务器对所述镜像流量进行整流，以获得连续的数据流的过程包括：处理TCP/IP协议下的数据乱序、重传。