[发明专利]一种基于HTTP流量URI特征的游戏外挂行为监控方法

说明书

本发明提供了一种基于HTTP流量URI特征的游戏外挂行为监控方法，所述方法包括：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；步骤S2、建立一URI黑名单，所述URI黑名单存储外挂发出的HTTP包所包含的URI字符串；步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，从TCP数据包中提取出URI参数字符串，然后遍历URI黑名单，将URI参数字符串和URI黑名单的每一个黑名单项进行字符串比对，如果从TCP数据包中提取出URI参数字符串与URI黑名单中任意一黑名单项相同，则判定游戏玩家有外挂使用行为；本发明可以高效地监控已知HTTP流量特征的外挂的使用行为。

技术领域

本发明涉及计算机系统通信技术领域、软件安全、游戏外挂检测领域，特别是一种基于HTTP流量URI特征的游戏外挂行为监控方法。

背景技术

现有的外挂行为监控模块通常使用基于进程内存扫描的检测方法，如扫描进程的内存空间判断是否包含外挂特征码等，暂无公开的基于HTTP流量URI特征的,针对游戏外挂行为的内核层监控手段。

上述现有的游戏外挂行为监控方案可能被外挂使用进程隐藏技术、内存多态化等方法绕过检测。本专利描述的方案可以监控到此类外挂的使用行为。另外本专利在应用于监控具备HTTP流量URI特征的外挂使用场景中表现得准确高效。

专业术语解释：

微软提供的WFP过滤框架在网络数据包传输过程中划定了许多层，如：FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4层(即数据流建立层)、FWPM_LAYER_STREAM_V4层(即数据流层)和FWPM_LAYER_DATAGRAM_DATA_V4层(即数据流层)；由于数据包在系统底层需要根据不同的网络协议进行封装，因此不同层捕获到的数据内容有所不同。本专利方案提到FWPM_LAYER_STREAM_V4层(即数据流层)可以捕获到所有不含IP头的TCP数据包。

WFP(Windows Filter Platform)，计算机术语，是一种Windows过滤平台，用于过滤网络数据包。

基本过滤引擎BFE是一个Windows操作系统自带的用户模式服务，协调WFP组件，基本过滤引擎BFE执行的主要任务是向系统中添加或移除过滤器、存储过滤器配置以及强化WFP配置安全性。应用程序与基本过滤引擎BFE的通讯通过FwpmEngineOpen等WFP管理函数进行。

URI，通一资源标志符(Universal Resource Identifier，URI)，表示的是web上每一种可用的资源，如HTML文档、图像、视频片段、程序等都由一个URI进行定位的。

发明内容

为克服上述问题，本发明的目的是提供一种基于HTTP流量URI特征的游戏外挂行为监控方法，是一种隐蔽的外挂行为监控手段，能高效地监控已知HTTP流量特征的外挂的使用行为。

本发明采用以下方案实现：一种基于HTTP流量URI特征的游戏外挂行为监控方法，其特征在于：所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一URI黑名单，所述URI黑名单存储外挂发出的HTTP包所包含的URI字符串；

步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，从TCP数据包中提取出URI参数字符串，然后遍历URI黑名单，将URI参数字符串和URI黑名单的每一个黑名单项进行字符串比对，如果从TCP数据包中提取出URI参数字符串与URI黑名单中任意一黑名单项相同，则判定游戏玩家有外挂使用行为。