現(xiàn)在大部分的主流外掛，包括按鍵精靈，自動(dòng)做一些動(dòng)作之類的外掛。 都是通過HOOK進(jìn)游戲窗口，并且用不同的HOOK類型來完成的，比如對(duì)于 網(wǎng)絡(luò)，通常是通過HOOK消息，把DLL弄到我們的游戲程序中，然后通過
GetProcAddress得到DLL中它們卑劣的函數(shù)的地址和真實(shí)的函數(shù)地址， 然后通過WriteProcessMemory來把我們的函數(shù)地址改成他們他們的API 地址。
那么在我們的游戲執(zhí)行的時(shí)候，收到消息就會(huì)先觸發(fā)他們的鉤子，等他們布置好邪惡的陷阱，然后再執(zhí)行我們的程序。那么，對(duì)于這類型的外掛，該怎么防呢？俗話說得好，以彼之道，還制彼身。所謂魔高一尺，道高一丈。所謂邪不勝正。所謂天網(wǎng)恢恢。所謂做賊心虛。
恩，WINDOWS的鉤子有個(gè)特點(diǎn)，就是鉤子鏈，因?yàn)閷?duì)于同一個(gè)進(jìn)程，即使是同一類型的鉤子，能同時(shí)有多個(gè)，也就是說，對(duì)于同一個(gè)游戲，開兩個(gè)功能相同的外掛也可以。那么，怎么樣來決定鉤子的順序呢？所謂
后來者先得，WINDOWS的做法是，最后一個(gè)HOOK某個(gè)進(jìn)程的鉤子最先執(zhí)行。并且振奮人心的消息是，在鉤子里面可以控制下一個(gè)鉤子是否執(zhí)行。
這個(gè)函數(shù)是CallNextHookEx，也就是說，如果在某個(gè)鉤子里面不執(zhí)行這個(gè)函數(shù)的話，鉤子鏈就會(huì)在這中斷，那么我們的思路就很簡單了，在游戲運(yùn)行中，開一個(gè)進(jìn)程，每隔一段時(shí)間就hook我們的主程序，然后在鉤
子里面，不執(zhí)行CallNextHookEx，這樣就可以避免別人的鉤子執(zhí)行。
所謂，僅僅發(fā)現(xiàn)敵人還不夠，還要消滅敵人。不急，我們來看看如何徹底把敵人打成粉碎性骨折。恩，要消滅敵人就要復(fù)雜一點(diǎn)了，要針對(duì)不同類型的鉤子來采取不同類型的方法了，因?yàn)閿橙说你^子不管怎么做，
無非是出于兩種目的，一種是修改數(shù)據(jù)，另外就是過濾數(shù)據(jù)。其核心思想就是我們自己的游戲注冊兩個(gè)鉤子，一個(gè)總是在鉤子鏈的最底層，另外一個(gè)總是在鉤子鏈的最上層，一比較兩個(gè)鉤子收到的消息，就知道中
間有沒有別的鉤子了。一但發(fā)現(xiàn)有別的鉤子，不用想了，肯定是外掛，最少也用了按鍵精靈，封號(hào)，殺檔，想怎么干就怎么干。
當(dāng)然，敵人也不是這么脆弱的，據(jù)說有人用raw socket來截獲所有的網(wǎng)絡(luò)消息，這個(gè)跟鉤子無關(guān)，這個(gè)更底層一些。不過不用怕，俗話說得好，以彼之道，還制彼身。所謂魔高一尺，道高一丈。所謂邪不勝正。所謂
天網(wǎng)恢恢。所謂做賊心虛。對(duì)付攔截raw socket的外掛，這里首先要把敵人分類，對(duì)于水平最次的敵人，方法也相應(yīng)要簡單得多。 最次的敵人一般用的方法是自己寫一個(gè)wsock32.dll放在和游戲相同的目錄下，來替換掉系統(tǒng)的wsock32.dll。對(duì)于這種愚蠢的方法，解決的辦法有很多，把load time的載入wsock32.dll改成run time的載入，然后指定一下路徑，就什么問題都沒有了。更簡單點(diǎn)，運(yùn)行游戲的時(shí)候檢查一下當(dāng)前目錄下有沒有wsock32.dll，有的話，那就肯定是外掛鉤子了。
比最等級(jí)高一點(diǎn)點(diǎn)的敵人，會(huì)喜歡用鉤子來直接鉤，一般的做法是，先通過GetProcAddress來獲取SOCKET API的地址，然后通過WriteProcessMemory的方法來修改入口地址，將其改成jmp 自己的函數(shù)地址。這種方法其實(shí)很卑劣的，所謂無毒不丈夫，我們可以通過修改通用的GetProcAddress的代碼來防止別人攔截SOCKET，這樣，直接連防火墻都可以突破了。
這里的技術(shù)難點(diǎn)在于，我們不能用類似WriteProcessMemory的方法來寫內(nèi)存因?yàn)槲覀儾恢谰烤雇鈷焓悄膫€(gè)進(jìn)程，所以我們需要修改WINDOWS的代碼段，這樣講理論上是不可能的，可惜WINDOWS自己給自己留了個(gè)后門，在kernel.dll 里面，UINT AllocCsToDsAlias(UINT)，通過把API的代碼段的選擇符傳給它，可以返回一個(gè)可以寫的數(shù)據(jù)段的選擇符，然后把新的選擇符和API的入口地址加在一起，就可以得到一個(gè)可以寫的代碼段的指針。
國內(nèi)好多取詞軟件和全屏翻譯軟件都是用的這個(gè)原理，具體的例子如下：
比如GetProcAddress這個(gè)API，在kernel.dll里面，我們要做針對(duì)它的通用鉤子就應(yīng)該按照以下的步簇：
typedef UINT (WINAPI* FOO)(UINT);
FOO AllocCsToDsAlias;
HMODULE hKernel = GetModuleHandle("kernel");
AllocCsToDsAlias = (FOO)GetProcAddress(hKernel, "AllocCsToDsAlias");
FARPROC entry = GetProcAddress(hKernel, "GetProcAddress");
WORD offset = (WORD)(FP_OFF(entry));
UINT selector = AllocCsToDsAlias(FP_SEG(entry));
BYTE *addr = (BYTE *)MK_FP(selector, offset);
然后就可以往addr這個(gè)地址寫5個(gè)BYTE的東西，第一個(gè)BYTE是jmp，不同的CPU 可能會(huì)不同，之后的一個(gè)DWORD是你的函數(shù)的地址。。
這樣，可以通過保存兩份addr的數(shù)據(jù)來做到鉤子的開關(guān)，當(dāng)鉤子打開的時(shí)候，所有的GetProcAddress的調(diào)用都會(huì)調(diào)到我們的函數(shù)，這個(gè)時(shí)候可以通過檢查如果有人想GetProcAddress wsock32.dll里的東西，我們就干掉它。。
同樣，如果有人通過開啟socket這個(gè)API的SOCK_RAW參數(shù)來調(diào)用RAW SOCKET監(jiān)視網(wǎng)絡(luò)，我們也可以通過上面的方法來做到先入為主，看誰在監(jiān)視我們的網(wǎng)絡(luò)傳輸。
其實(shí)查外掛的原理和捉病毒的原理一樣，只是現(xiàn)在做外掛的技術(shù)還不成熟。當(dāng)做外掛的技術(shù)和防外掛的技術(shù)在同一條線上的時(shí)候，想從技術(shù)上防住外掛是不可能的。
其實(shí)是無奈，殺毒軟件的做法是出來一種新的病毒，在第一時(shí)間內(nèi)公布其特征碼，然后更新所有的客戶端，看到這種特征的，就殺。其實(shí)查殺外掛也該如此，其實(shí)CS的Cheating-Death就是這個(gè)原理，不管出了什么新的外掛，CD 總是在第一時(shí)間內(nèi)更新，然后客戶端也就傻傻的只要一看到有這個(gè)特征的東西就把它干掉。其實(shí)仔細(xì)想想，這是個(gè)很好的主意，從外掛開發(fā)商的動(dòng)機(jī)來分析。他們之所以要開發(fā)外掛，估計(jì)炫耀技術(shù)是一方面，更重要的還是想賺錢，或者用來掛機(jī)之類的，既然要賺錢，或者掛機(jī)，就必然會(huì)被其他玩家發(fā)現(xiàn)或者舉報(bào)，這個(gè)時(shí)候應(yīng)該做的就是盡快的下載一份外掛，或者根據(jù)其行為研究其特征，并在防外掛的特征碼上記下一筆，其實(shí)不用太復(fù)雜，最簡單的做法就是記住其外掛窗口的名稱，然后只要看到這個(gè)外掛窗口，做些處理就好了。
那么這樣一來，關(guān)鍵的技術(shù)就落在如何設(shè)計(jì)查外掛這個(gè)結(jié)構(gòu)上了，首先客戶端需要的是一個(gè)查外掛引擎，和一個(gè)外掛特征庫，根據(jù)引擎和特征庫生成一個(gè)固定的版本號(hào)，然后每次登陸的時(shí)候就用這個(gè)版本號(hào)，跟服務(wù)器上的版本號(hào)對(duì)比，如果不一樣的話，則從服務(wù)器自動(dòng)下載最新的查外掛引擎和外掛特征庫。
這樣雖然不能將外掛趕盡殺絕，卻能比較大的限度上圍剿使用外掛的風(fēng)氣，相信使用外掛的玩家也只是想更好的玩游戲，只不過動(dòng)的念頭有些歪了，但其出發(fā)點(diǎn)仍是好的，只要在他使用外掛的時(shí)候多些阻攔或者誘導(dǎo)他不使用外掛，這樣效果就會(huì)好很多。設(shè)想一下，誰愿意每天等一個(gè)外掛的更新，而不去玩他很想玩的游戲呢。這樣一來，制作外掛的人也會(huì)逐漸減少，從而進(jìn)入一個(gè)良性循環(huán)。
就好象如今寫病毒，并不如當(dāng)年那么流行了。。-。-