《学而知事》是网易云易盾打造的品牌栏目。 成语出自汉王充的《论衡真知》。 人的能力有高低之分。 只有学习，我们才能认识事物的真相，才能拥有智慧。 如果你不问，你就不会知道。 《以学识物》希望通过技术干货、趋势分析、性格思考和沉淀给你带来收获，同时也希望打开你的视野，成就不一样的你。 其实，如果您有好的知识或者分享，也欢迎您通过短信投稿（zhangyong02@corp.netease.com）。
以下为正文：
3月25日，2018Unity技术路演第一站：联通游戏技术分享日在重庆举行。 本次活动致力于为联通游戏开发者搭建更好的交流平台，学习Unity在联通游戏开发领域的最新工具和应用方法，分享最酷的游戏开发和行业应用案例，了解联通游戏开发。 安全问题给企业带来的隐患，可以帮助开发者及早感知安全风险，防止损失。
陈十六，网易云易盾联通游戏安全技术专家
网易云易盾联通游戏安全技术专家陈十六出席交流活动，并作《Unity手游风险与安全问题——网易云易盾保驾护航》技术演讲。 在分享中，他介绍了如今Unity手游面临的诸多风险和流行插件，并重点讲解了易盾安全解决方案的技术原理和实际案例。
1、Unity手游面临的风险
据统计，2017年，国外活跃的联通游戏应用约9000款，大部分存在破解、恶意代码插入、广告插入、作弊、二次打包等安全问题。 而这种安全问题给企业带来了隐患，比如开发难度增大、开发成本增加、玩家付费意愿降低、游戏公平性丧失、玩家流失等，直接影响企业的利益。收入损失——因此，放弃Unity手游的风险是针对开发者的。 说非常重要。
常见的Unity手游风险主要包括破解风险和外挂工具。
裂纹风险
破解风险主要包括Unitymono脚本泄露、Unityil2cpp脚本分析、Assetbundle资源篡改等。
下面两张图展示了mono脚本文件的二进制补码方法和源代码转换。
以libil2cpp.so和global-metadata.dat作为输入，使用Il2CppDumper进行解析：
解析出来的效果如下，类名、函数名以及对应的偏转也可以解析出来：
目前iOS中还没有可以解析成源代码的工具，而如果能够对Android脚本进行解密或解析手游源码网交易，将大大方便iOS的破解。 因此，对Android进行有效的脚本加密是非常有必要的。
透视功能允许使用更改版本的玩家获得不对称优势。 对于如下所示的射击游戏，将Assetbundle资源上的材质属性更改为透明，以达到透视的效果。
除了资源被篡改的风险外，还存在资源被游戏内竞品窃取分析的风险。
单个游戏存档数据以明文形式存在。 如果那些数据没有在服务器端进行校准，或者是单机游戏，就会存在巨大的安全风险，并且可以直接改变游戏的各种属性。
插件
使用修改器可以将伤害倍数从18%更改为999.9%，导致伤害增加数十倍。 类似的原理还可以达到无敌、秒杀、法力无限、技能无CD等效果，所以变身者对游戏平衡的危害是相当大的。
常用的变身器有烧麦变身器、八门利器、GameGuardian（GG变身器及其各种修改版本），其中GG变身器（GameGuardian）流行于即时对战游戏（如吃鸡游戏）。
上图是搜索数值的界面，右图是调用lua脚本的界面
QQ群出售的GGlua脚本
免Root修改器是指通过第三方软件获取Root权限，可以访问和更改手游中几乎所有文件，但此操作可能会影响游戏的稳定性，导致蓝屏、卡顿、重启等人为故障。
八门利器附带免根换器
GG大佬提供的免费ROOT更换器
加速器有两类，一是手机加速器，比如酥饼加速器、GG加速器； 另一种是模拟器加速器，比如天天加速器。 油门不仅可以加速，还可以减速。 如右图所示，使用脆饼加速器，背景率会随着加速因子的增加而增加。
破解版提供了很多变态的功能来吸引玩家。 右图是一个专门以破解游戏销售牟利的网站。 他们不仅有销售网站，还开设了天猫店。 每月只要支付150元，就已经超过了很多游戏的ARPU值。 这样的破解版本的存在将严重影响普通玩家的体验，给游戏收入和声誉造成巨大损失。
包括GG大玩家、光环助手等，市面上有各种破解版本。
GG大玩家游戏破解版，上图为改版列表，右图为改版功能
光环助手游戏破解版，上图为变更版本列表，右图为变更版本的功能
上图是模拟按键挂机，哪怕只是模拟点击，而且可以手动玩，可以收集各种金币和积分，对游戏平衡性会有比较大的影响。 常见的模拟按键挂钩有触摸精灵、触摸精灵、按键精灵、恰恰助手、游戏蜂巢等。
2、易盾是怎么做到的？
网易易盾可提供UnitymonoDLL脚本加密、IL2CPP加密、Assetbundle加密等加密解决方案，以及防修改、防加速、防模拟器、防调试等通用手游保护功能，以及手机游戏保护功能。游戏风险意识。
UnitymonoDLL脚本加密
只有通过更改或HOOKmono_image_open_from_data_with_name才能解锁DLL脚本。 mono_image_open_from_data_with_name是CSharp脚本的加载函数。 如果CSharpDLL脚本被加密，则在执行该函数之前需要对其进行解密。 因此，只要在这个函数中放一个断点或者HOOK，就可以在不需要逆向加密算法的情况下，暴露出原始的DLL。 需要注意的是，这里有一个memcpy复制操作，mono会在显存中保存一份被揭秘的DLL的副本。
UnitymonoDLL脚本加密已经经历了三代技术变革。
第一代加密直接对DLL文件进行加密，这一点在mono_image_open_from_data_with_name函数的开头就暴露出来了。 其破解方法非常简单。 PE结构文件使用4d5a9000的四个字节作为魔头，可以作为CSharpDLL脚本的一个功能。 只需搜索值 0x905a4d，因为脆饼更换器使用 10 个补码。 代码值，转换为10的补码值：9460301。因此，泄密的门槛很低，只要使用修饰符，就可以泄密。
第二代加密建立在第一代加密的重大弱点之上，并增强了防止解密的能力。 泄露秘密后，删除右侧显示的PE头，使修改者很难找到该脚本。 所以泄密的门槛比较高，需要特别强的逆向开发能力才能够破解。
第三代加密针对Csharp功能进行加密，即技术级加密，需要动态揭示。
原始未加密的dnspy函数解析结果
函数加密后dnspy函数解析错误
IL2CPP 加密
Il2cpp脚本信息以lib2cpp.so的形式存在，结合global-metadata.dat文件中的符号信息，就可以解析出来，所以需要避免杀掉libil2cpp.so，如右图所示，原来的libil2cpp.so使用IDA可以看到475个导入函数：
加强后的libil2cpp.so的导入函数为空：
资产包加密
当Assetbundle未加密时，UnityStudio可以解析出各种资源：
加密Assetbundle后，UnityStudio很难解析：
手游通用保护功能
除了UnitymonoDLL脚本加密、IL2CPP加密、Assetbundle加密等加密方案外，网易易盾还可以提供通用手游防护功能，包括防修改、防加速、防模拟器、防调试、防模拟点击、文件校准、防二次打包、存档加密、引擎SO多元化防杀等。一般来说，任何游戏引擎都支持这个通用功能，可以根据游戏需求选择一项或多项。 目前网易易盾支持的游戏主要有Unity3d、COCOS、NEOX、UE4等。
变身器可以实现无限法力、无技能CD、无敌、秒杀、双重攻击等多种功能，是工具党的最爱，也是专业破解者常用的工具之一。 常见的修改器不仅有常见的炸饼、八门利器、葫芦侠、GG（游戏卫士），还有很多定制化的修改版本。
其中GG变异器是最专业的变异器，它专门实施了反检查措施（随机化包名、子进程使用系统进程名等），因此常规的进程监控对于GG来说是无效的。 而易盾手游防护采用的是变更行为检测，可以杀死所有变更者，包括所有已知和未知的变更者。 右图是测量治疗效果的示例：
加速器可以加速也可以减速，主要分为两类：一类是Android系统中的加速器，如锅贴加速器、叉子加速器，通常加速器都带有加速功能； 另一个是加速器，用于加速模拟器的进程。 最终游戏的加速度是相同的。 本质是加速整个模拟器。 Android系统中没有运行加速器。 典型的就是天天模拟器自带的天天加速器。
加速器的使用会让部分玩家获得游戏优势，影响游戏平衡。 而易盾手游防护对于以上两种加速都有检测方案，而且是针对行为的检测方案，而不是针对具体的个别加速器，具有更好的通用性——对于天天加速器这样的进程加速器，虽然只有0.1倍加速，但可以也可进行测量。
上图是一款硬派跑酷游戏。 使用天天加速器加速生效后，大约一秒后就会崩溃。
严格来说，模拟点击并不是非法插件，属于白色区域。 因此，模拟点击器是企业行为，被广泛使用，而模拟点击脚本提供的功能也会对游戏平衡产生很大的负面影响。 目前比较知名的模拟点击器有恰恰助手、触摸精灵、触摸精灵、按钮精灵、游戏蜂巢等。
如右图，启动触摸向导后，再启动游戏，如果防护检测到模拟答题器的存在，系统就会崩溃：
而亿盾手游防护则采用流程+行为检测相结合的方式来衡量模拟点击器。
以上介绍的手游通用防护功能各有特点，开发者可以根据实际需求进行选择：
功能
特征
反调试
测量方法隐蔽，大大增加了动态逆向分析的难度
反模拟器
可以杀死所有已知和未知的模拟器
文件校准
兼顾效率与安全
防二次包装
使用更底层的方法，可以绕过各种过校准插件
档案加密
以透明的形式接入，无需开发做额外的接入工作
移动游戏风险感知
网易易盾是否还可以提供手游风险感知功能，主要包括破解包计量、与破解者无感知对抗、恶意用户风险评估、支持私有化部署等。
三、易盾保护方案特点
网易易盾防护方案具有纯Native防护、引擎SO防杀、兼容性和稳定性高、性能影响小、支持Windows、Linux、Mac三平台加固等性能特点。
纯原生保护
游戏dex内部都是第三方SDK以及不涉及游戏内部游戏逻辑的SDK。 如果使用DEX的反杀，一方面很容易导致Android碎片化，从而增加app的兼容性； 另外，Android有两个虚拟机，Dalvik和Art，所以dex反杀会降低到兼容这两个虚拟机。 处理成本，进而导致启动时间显着减少。 阿里和腾讯都有DEX反杀服务，支付宝和微信尚未提供DEX反杀服务。 支付宝和陌陌的安全问题应该是所有应用中最严重的。 他们没有实现 DEX 豁免手游源码网交易，这是问题的一个很好的例子。 而且，腾讯所有游戏都没有实现DEX免疫。 因此，手游防护如果需要依赖DEX反杀，兼容性和安全性都难以保证。 因此，建议游戏不要使用DEX，以免被杀。
右图是一个第三方游戏的例子，使用jeb分析其dex包含的模块：
网易易盾可以提供纯Native的防护，让游戏防护不依赖DEX免杀。 DEX防杀和纯原生保护的异同如下：
影响项目
DEX免杀
纯原生保护
兼容性
Android的碎片化对dex影响很大
Android的碎片对natvie层没有影响
开始时间
启动时需要对几兆的DEX进行读文件、解密、OTA优化，极大影响启动时间
C代码的内存操作对启动时间影响很小
运行速度
运行效率提高一倍
对操作影响不大
频道回顾
受反杀影响的渠道植入SDK
不影响渠道包装
安全
对游戏没有任何保护，很多破解版游戏都有dex壳
完全为手机游戏量身定制防护，覆盖各类游戏威胁
避免杀死引擎SO
基本上所有的破解都依赖于引擎的逆向分析。 如果对so进行免杀保护，将大大降低游戏被破解的门槛。 不仅引擎SO免杀，网易易盾还会对敏感功能代码进行校准。
高兼容性和稳定性
强兼容的原则是所有保护都在SO层，DEX不会改变，有效防止Android碎片带来的兼容性问题。 网易易盾具有极高的兼容性，可以兼容从Android2.3到Android9.0的所有版本系统、所有游戏引擎使用的所有模拟器和指令集。
手机游戏保护稳定性必须符合以下发布流程：
QA测试：在200部手机和各种模拟器上测试；
上线前测试：将安全模块集成到每日直播1000应用中，并测试2周；
版本发布：经过以上两轮测试稳定后，将于近期发布；
线上回归：先用比较小的内部游戏测试线上，保证稳定性。
对性能影响不大
易盾防护方案还具有对性能影响很小的特点，对CPU占用、内存占用、启动时间、功耗等的影响几乎可以忽略不计。
表现
影响大小
CPU使用率
减少0.5%-1%
内存使用情况
减少1M-3M
开始时间
减少30ms-150ms
能量消耗
减少0.5%-1%
安装包体积
减少1.5M-3M
流量消耗
没有效果
GPU使用率
没有效果
支持Windows、Linux、Mac三个平台加固
据悉，易盾防护方案还支持Windows、Linux、Mac三个平台加固。 加固工具以jar包的形式提供。 除了内置快速签名功能外，加固全面优化，速度更快。
加固接入的对接流程包括：
确定游戏强化项目；
亿盾技术支持云端配置加固项；
获取应用密钥；
下载加固jar包工具，按照说明配置appkey。
4. 亿盾的解决方案获得了哪些客户认可？
网易易盾的保护方案在实际案例中得到广泛应用，包括网易内部手游《倩女幽魂》、《终结者2：审判日》等。
对外，也有游戏公司为多款游戏采用了易盾手游防护解决方案。
最后：易盾现场还举行了安全诊断会，有网友询问加固过程。 网易全客户工程师李沛然表示，加固过程中可以接入命令行，不会影响开发进程。
“用起来很方便。” 李佩然指出。
以上由网易企业信息服务商广东领先网络科技（qiye163.co）整理发布。
网易企业服务是网易在企业邮箱基础上，凭借20年的品牌优势和经验，进一步布局企业市场而打造的企业级产品矩阵。 旨在提供一站式企业信息化解决方案。 四川领先网络科技是网易企业级产品授权经销商，专业为企业提供网易企业邮箱、网易办公套件等一站式专业企业信息化解决方案。
