[发明专利]一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法

说明书

本发明提供了一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；步骤S2、建立一HOST黑名单，所述HOST黑名单存储外挂发出的HTTP包所包含的HOST域名字符串；步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，并将TCP数据包请求解析的HOST域名参数与所述HOST黑名单进行比对判定，如果域名参数与HOST黑名单中任意一域名字符串相同，则判定游戏玩家有外挂使用行为；本发明可以高效地监控已知HTTP流量特征的外挂的使用行为。

技术领域

本发明涉及计算机系统通信技术领域、软件安全、游戏外挂检测领域，特别是一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法。

背景技术

现有的外挂行为监控模块通常使用基于进程内存扫描的检测方法，如扫描进程的内存空间判断是否包含外挂特征码等，暂无公开的基于HTTP流量HOST字段特征的,针对游戏外挂行为的内核层监控手段。

上述现有的游戏外挂行为监控方案可能被外挂使用进程隐藏技术、内存多态化等方法绕过检测。本专利描述的方案可以监控到此类外挂的使用行为。另外本专利在应用于监控具备HTTP流量HOST字段特征的外挂使用场景中表现得准确高效。

专业术语解释：

微软提供的WFP过滤框架在网络数据包传输过程中划定了许多层，如：FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4层(即数据流建立层)、FWPM_LAYER_STREAM_V4层(即数据流层)和FWPM_LAYER_DATAGRAM_DATA_V4层(即数据包层)；由于数据包在系统底层需要根据不同的网络协议进行封装，因此不同层捕获到的数据内容有所不同。本专利方案提到FWPM_LAYER_STREAM_V4层(数据流层)可以捕获到所有不含IP头的TCP数据包。

WFP(Windows Filter Platform)，计算机术语，是一种Windows过滤平台，用于过滤网络数据包。

基本过滤引擎BFE是一个Windows操作系统自带的用户模式服务，协调WFP组件，基本过滤引擎BFE执行的主要任务是向系统中添加或移除过滤器、存储过滤器配置以及强化WFP配置安全性。应用程序与基本过滤引擎BFE的通讯通过FwpmEngineOpen等WFP管理函数进行。

HTTP数据包中的HOST字段用于标识服务器的域名。

发明内容

为克服上述问题，本发明的目的是提供一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，是一种隐蔽的外挂行为监控手段，能高效地监控已知HTTP流量特征的外挂的使用行为。

本发明采用以下方案实现：一种基于HTTP流量HOST字段特征的游戏外挂行为监控方法，所述方法包括如下步骤：步骤S1、Windows系统应用层的客户端在驱动层创建网络过滤驱动；

步骤S2、建立一HOST黑名单，所述HOST黑名单存储外挂发出的HTTP包所包含的HOST域名字符串；

步骤S3、网络过滤驱动在数据流层捕获所有TCP数据包，并将TCP数据包请求解析的HOST域名参数与所述HOST黑名单进行比对判定，如果域名参数与HOST黑名单中任意一域名字符串相同，则判定游戏玩家有外挂使用行为。

进一步的，所述步骤S2进一步具体为：创建网络过滤驱动的过程中，将外挂进行网络交互过程中会访问的HOST域名写入到网络过滤驱动的文件中，Windows系统应用程序加载并开启网络过滤驱动；网络过滤驱动开启成功后，初始化HOST黑名单，在初始化黑名单的过程中，网络过滤驱动将写入文件中的所有HOST域名插入到HOST黑名单中。