[发明专利]一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法

权利要求书

1.一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，其特征在于：所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一HOST黑名单，所述HOST黑名单存储外挂发出的HTTP包所包含的HOST域名字符串；

步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，并将TCP数据包请求解析的HOST域名参数与所述HOST黑名单进行比对判定，如果域名参数与HOST黑名单中任意一域名字符串相同，则判定游戏玩家有外挂使用行为。

2.根据权利要求1所述的一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，其特征在于：所述步骤S2进一步具体为：创建网络过滤驱动的过程中，将外挂进行网络交互过程中会访问的HOST域名写入到网络过滤驱动的文件中，Windows系统应用程序加载并开启网络过滤驱动；网络过滤驱动开启成功后，初始化HOST黑名单，在初始化黑名单的过程中，网络过滤驱动将写入文件中的所有HOST域名插入到HOST黑名单中。

3.根据权利要求1所述的一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，其特征在于：所述步骤S2和步骤S3之间还包括：步骤S21、网络过滤驱动使用FwpmEngineOpen函数获取基本过滤引擎BFE句柄，作为后续操作的参数；

步骤S22、网络过滤驱动使用FwpsCalloutRegister函数注册在数据流层监控数据的回调函数；

步骤S23、网络过滤驱动使用FwpmCalloutAdd函数向基本过滤引擎BFE申请添加之前注册的回调函数；

步骤S24、网络过滤驱动使用FwpmSubLayerAdd函数，在数据流层创建子层，用于捕获数据；

步骤S25、网络过滤驱动使用FwpmFilterAdd函数，通过基本过滤引擎BFE在数据流层创建过滤器，并将回调函数与子层关联；完成关联后，当子层捕获到网络数据包时，系统会调用子层对应的回调函数处理网络数据包；所述数据流层的回调函数用于处理TCP数据包。

4.根据权利要求3所述的一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，其特征在于：所述步骤S3进一步具体为：步骤S31、数据流层的回调函数被调用时，回调函数判断数据包的远端端口是否为80，是则，数据包是一个HTTP协议的TCP数据包并进入步骤S32；否则回调函数执行结束；

步骤S32、回调函数按照HTTP报文格式解析数据包内容，从HTTP协议的TCP数据包中提取出HOST字段字符串，然后遍历HOST黑名单，将HOST字段字符串和HOST黑名单中每一个黑名单项进行字符串比对，若存在黑名单项与TCP数据包中提取的HOST字段字符串相同，则判定玩家有外挂使用行为。

5.根据权利要求4所述的一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，其特征在于：所述回调函数按照HTTP报文格式解析数据包内容，从HTTP协议的TCP数据包中提取出HOST字段字符串具体包括如下步骤：

步骤1、使用字符串匹配算法，查找HTTP协议的TCP数据包中是否包含字符串“Host:”，若不包含，则本流程结束；若包含字符串”Host:”，则记录第一次出现字符串“Host:”的内存地址，设置这个内存地址后一字节的地址为Start；

步骤2、使用字符比对的方式，以Start为起点，HTTP协议的TCP数据包倒数第二个字节为终点，搜索“\x0d\x0a”，即连续两个字节，前后分别存储‘\x0d’和‘\x0a’，如果搜索不到，则退出HOST提取的流程；否则设置搜索到的内存地址的前一字节为End；

步骤3、从Start到End中间这段内存存储的数据就是HTTP协议的TCP数据包的HOST字段内容。