[发明专利]一种基于IP端口特征的游戏外挂检测方法

说明书

本发明提供了一种基于IP端口特征的游戏外挂检测方法，该方法包括：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；步骤S2、建立一远端地址IP‑端口黑名单，远端地址IP‑端口黑名单存储外挂会访问的远端地址的IP和端口号；步骤S3、网络过滤驱动在数据流建立层捕获所有请求连接服务器的数据包，并对数据包的IP和端口参数进行分析，如果数据包的远端地址IP与远端地址IP‑端口黑名单中黑名单项的远端IP相等，同时数据包的远端端口号与黑名单项的远端端口号相等，则判定此数据包为外挂发送的数据包；并将远端地址IP、远端端口号、进程ID、进程路径这些信息写入到外挂检测日志文件中。本发明能针对已知IP特征和端口特征的外挂，实现高效的检测。

技术领域

本发明涉及计算机系统通信技术领域、软件安全、游戏外挂检测领域，特别是一种基于IP端口特征的游戏外挂检测方法。

背景技术

现有的外挂检测模块通常使用基于进程内存扫描的检测方法，如扫描进程的内存空间判断是否包含外挂特征码等，暂无公开的基于数据包IP、端口特征的，针对游戏外挂的内核层检测手段。

上述现有的游戏外挂检测方案可能被外挂使用进程隐藏技术、内存多态化等方法绕过检测。本专利描述的方案可以检测到此类外挂。另外本专利在应用于检测具备IP和端口特征的外挂的场景中表现得准确高效。

专业术语解释：

微软提供的WFP过滤框架在网络数据包传输过程中划定了许多层，如：FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4层(即数据流建立层)、FWPM_LAYER_STREAM_V4层(即数据流层)和FWPM_LAYER_DATAGRAM_DATA_V4层(即数据包层)；由于数据包在系统底层需要根据不同的网络协议进行封装，因此不同层捕获到的数据内容有所不同。本专利方案提到FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4层(即数据流建立层)，FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4层可以捕获到进程发送的授权连接请求，在这一层可以获得数据包的收发进程信息、收发IP信息、收发端口信息。

WFP(Windows Filter Platform)，计算机术语，是一种Windows过滤平台，用于过滤网络数据包。

基本过滤引擎BFE是一个Windows操作系统自带的用户模式服务，协调WFP组件，基本过滤引擎BFE执行的主要任务是向系统中添加或移除过滤器、存储过滤器配置以及强化WFP配置安全性。应用程序与基本过滤引擎BFE的通讯通过FwpmEngineOpen等WFP管理函数进行。

发明内容

为克服上述问题，本发明的目的是提供一种基于IP端口特征的游戏外挂检测方法，是一种隐蔽的外挂行为监控手段，能针对已知IP特征和端口特征的外挂，实现高效的检测。

本发明采用以下方案实现：一种基于IP端口特征的游戏外挂检测方法，其特征在于：所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一远端地址IP-端口黑名单，所述远端地址IP-端口黑名单存储外挂会访问的远端地址的IP和端口号；

步骤S3、网络过滤驱动在数据流建立层捕获所有请求连接服务器的数据包，并对数据包的IP和端口参数进行分析，如果数据包的远端地址IP与远端地址IP-端口黑名单中黑名单项的远端IP相等，同时数据包的远端端口号与黑名单项的远端端口号相等，则判定此数据包为外挂发送的数据包；并将远端地址IP、远端端口号、进程ID、进程路径这些信息写入到外挂检测日志文件中。