[发明专利]一种基于HTTP流量URI特征的游戏外挂行为监控方法

权利要求书

1.一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一URI黑名单，所述URI黑名单存储外挂发出的HTTP包所包含的URI字符串；

步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，从TCP数据包中提取出URI参数字符串，然后遍历URI黑名单，将URI参数字符串和URI黑名单的每一个黑名单项进行字符串比对，如果从TCP数据包中提取出URI参数字符串与URI黑名单中任意一黑名单项相同，则判定游戏玩家有外挂使用行为。

2.根据权利要求1所述的一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述步骤S2进一步具体为：创建网络过滤驱动的过程中，将外挂进行网络交互过程中会访问的URI写入到网络过滤驱动的文件中，Windows系统应用程序加载并开启网络过滤驱动；网络过滤驱动开启成功后，初始化URI黑名单，在初始化黑名单的过程中，网络过滤驱动将写入文件中的所有URI插入到URI黑名单中。

3.根据权利要求1所述的一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述步骤S2和步骤S3之间还包括：步骤S21、网络过滤驱动使用FwpmEngineOpen函数获取基本过滤引擎BFE句柄，作为后续操作的参数；

步骤S22、网络过滤驱动使用FwpsCalloutRegister函数注册在数据流层监控数据的回调函数；

步骤S23、网络过滤驱动使用FwpmCalloutAdd函数向基本过滤引擎BFE申请添加之前注册的回调函数；

步骤S24、网络过滤驱动使用FwpmSubLayerAdd函数，在数据流层创建子层，用于捕获数据；

步骤S25、网络过滤驱动使用FwpmFilterAdd函数，通过基本过滤引擎BFE在数据流程创建过滤器，并将回调函数与子层关联；完成关联后，当子层捕获到网络数据包时，系统会调用子层对应的回调函数处理网络数据包；所述数据流层的回调函数用于处理TCP数据包。

4.根据权利要求3所述的一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述步骤S3进一步具体为：步骤S31、数据流层的回调函数被调用时，回调函数判断数据包的远端端口是否为80，是则，数据包是一个HTTP协议的TCP数据包并进入步骤S32；否则回调函数执行结束；

步骤S32、回调函数按照HTTP报文格式解析数据包内容，从HTTP协议的TCP数据包中提取出URI参数字符串，然后遍历URI黑名单，将URI参数字符串和URI黑名单中每一个黑名单项进行字符串比对，若存在黑名单项与TCP数据包中提取的URI参数字符串相同，则判定玩家有外挂使用行为。

5.根据权利要求4所述的一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述回调函数按照HTTP报文格式解析数据包内容，从HTTP协议的TCP数据包中提取出URI参数字符串具体包括如下步骤：

步骤1、使用字符串匹配算法，查找HTTP协议的TCP数据包中是否包含字符串“HTTP/”，若不包含，则本流程结束；若包含字符串“HTTP/”，则记录第一次出现字符串“HTTP/”的内存地址，设置这个内存地址为Tmp；

步骤2、判断Tmp相对于HTTP协议的TCP数据包的起始地址的偏移是否大于4，以及HTTP协议的TCP数据包的结束地址相对于Tmp的偏移是否大于8，若上述条件还不能同时满足，则判定为异常数据包，流程结束；否则进入步骤3；

步骤3、判断比Tmp地址大8字节的内存地址存储的数据是不是‘\0d’,若不是则判定异常数据包，流程结束；否则进入步骤4；

步骤4、判断比Tmp地址大9字节的内存地址存储的数据是不是‘\0a’,若不是则判定异常数据包，流程结束；否则进入步骤5；

步骤5、判断比Tmp地址小1字节的内存地址存储的数据是不是‘\20’,若不是则判定异常数据包，流程结束；否则进入步骤6；

步骤6、将‘\20’内存地址前一字节定义为URI字符串的末尾，设置名称为End，以End为起始地址，以数据包起始地址为终止地址，由大到小逆序遍历内存，使用字符比较的方式查找字符串“\20\2f”，当查找到字符串“\20\2f”时，将存储字符‘\2f’的地址设定为需要提取的URI字符串的起点Begin，并进入步骤7；若查找失败，则判定异常数据包，流程结束；

步骤7、Begin到End中间存储的数据就是需要提取的URI字符串。