[发明专利]一种基于IP端口特征的游戏外挂检测方法

权利要求书

1.一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述方法包括如下步骤：

步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一远端地址IP-端口黑名单，所述远端地址IP-端口黑名单存储外挂会访问的远端地址的IP和端口号；

步骤S3、网络过滤驱动在数据流建立层捕获所有请求连接服务器的数据包，并对数据包的IP和端口参数进行分析，如果数据包的远端地址IP与远端地址IP-端口黑名单中黑名单项的远端IP相等，同时数据包的远端端口号与黑名单项的远端端口号相等，则判定此数据包为外挂发送的数据包；并将远端地址IP、远端端口号、进程ID、进程路径这些信息写入到外挂检测日志文件中。

2.根据权利要求1所述的一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述步骤S2进一步具体为：创建网络过滤驱动的过程中，将外挂访问的IP地址和端口号写入到网络过滤驱动的文件，Windows系统应用程序加载并开启网络过滤驱动；网络过滤驱动开启成功后，初始化远端地址IP-端口黑名单，在初始化黑名单的过程中，网络过滤驱动将写入文件中的所有有IP地址和端口号插入到远端地址IP-端口黑名单中。

3.根据权利要求1所述的一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述步骤S2和步骤S3之间还包括：步骤S21、网络过滤驱动使用FwpmEngineOpen函数获取基本过滤引擎BFE句柄，作为后续操作的参数；

步骤S22、网络过滤驱动使用FwpsCalloutRegister函数注册在数据流建立层监控数据的回调函数；

步骤S23、网络过滤驱动使用FwpmCalloutAdd函数向基本过滤引擎BFE申请添加之前注册的回调函数；

步骤S24、网络过滤驱动使用FwpmSubLayerAdd函数，在数据流建立层创建子层，用于捕获数据；

步骤S25、网络过滤驱动使用FwpmFilterAdd函数，通过基本过滤引擎BFE在数据流建立层创建过滤器，并将回调函数与子层关联；完成关联后，当子层捕获到网络数据包时，系统会调用子层对应的回调函数处理网络数据包；所述数据流建立层的回调函数用于处理请求网络链接的数据包。

4.根据权利要求3所述的一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述步骤S3进一步具体为：步骤S31、网络过滤驱动在数据流建立层捕获所有请求连接服务器的数据包，数据流建立层的回调函数被调用时，会提取这个数据包的远端IP和远端端口号，然后遍历远端地址IP-端口黑名单的所有黑名单项，将每一项与当前捕获的数据包的远端地址信息比较，如果数据包的远端地址IP与黑名单项的远端IP相等，同时数据包的远端端口号与黑名单项的远端端口号相等，则判定此数据包为外挂发送的数据包，进而判定发送此数据包的进程为外挂，并进入步骤S32；如果数据包的远端IP和远端端口号不能匹配远端地址IP-端口黑名单中的任一黑名单项，则判定此数据包不是外挂发送的数据包，并结束流程；

步骤S32、回调函数使用ZwWirteFile函数将数据包的远端地址IP、远端端口号、进程ID、进程路径这些信息写入到外挂检测日志文件中。

5.根据权利要求3所述的一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述数据流建立层的回调函数在完成数据包分析后，无论数据包是否为外挂发送的数据包，一律放行，允许数据包继续传递。