幾維安全：千錘百煉，鍛造移動游戲安全防護(hù)黃金鎧甲

在近期發(fā)布的《2018年上半年中國移動互聯(lián)網(wǎng)行業(yè)發(fā)展分析報告》中提出，在上半年中國移動互聯(lián)網(wǎng)關(guān)鍵字TOPl是“安全”，安全已成為中國移動互聯(lián)網(wǎng)企業(yè)存亡生命線。作為平臺，首先要保證輸出內(nèi)容的安全，其次要保證用戶的人身財產(chǎn)安全及數(shù)據(jù)安全。安全，為立“身”之本。

在過去二十多年中，伴隨著移動互聯(lián)網(wǎng)的發(fā)展，游戲行業(yè)經(jīng)歷很大的變化——不僅僅是從技術(shù)上的革新，游戲的實現(xiàn)能力更是有了飛躍的發(fā)展，但是在移動游戲逐漸成為大眾休閑娛樂的主流方式的背后，其安全正受到網(wǎng)絡(luò)黑產(chǎn)的巨大威脅。

移動游戲發(fā)展迅猛，安全問題卻如影隨形

據(jù)相關(guān)數(shù)據(jù)顯示，截止到2018年3季度，全球移動互聯(lián)網(wǎng)用戶已超過30億，歐美、東亞等區(qū)域滲透率近80%。從3季度基于移動互聯(lián)網(wǎng)應(yīng)用月新增占比分布數(shù)據(jù)看，游戲行業(yè)占比位居第二，且主流手機(jī)游戲應(yīng)用MAU同比增長趨勢明顯。

但是，隨著硬件與開發(fā)技術(shù)的成熟相繼發(fā)展成型，游戲行業(yè)安全問題也隨之出現(xiàn)，外掛工具、系統(tǒng)功能漏洞、服務(wù)器宕機(jī)漏洞等問題頻發(fā)，也將大幅影響游戲內(nèi)平衡，使用戶體驗下降?？梢哉f，無論是移動應(yīng)用還是游戲，發(fā)生安全問題就如同打開“潘多拉魔盒”，不但可能危害用戶切身利益，也同樣會造成企業(yè)的損失。與此同時還會發(fā)生企業(yè)信譽(yù)危機(jī)，品牌口碑大幅下滑等一系列問題。

在騰訊安全云鼎實驗室于近日發(fā)布《2018年游戲行業(yè)安全監(jiān)測報告及五大攻擊趨勢》的數(shù)據(jù)顯示，目前游戲行業(yè)安全威脅主要包括賬號類攻擊、DDoS攻擊、外掛和其他四大類。

1. 帳號類攻擊

針對游戲行業(yè)的帳號類攻擊，月均在數(shù)億次/月，且持續(xù)平穩(wěn)，具有長期持續(xù)性攻擊的特征。

(1)攻擊類型分布

在針對帳號的攻擊中，大部分的帳號掃描其實也是為了撞庫攻擊做準(zhǔn)備，少部分是基于歷史密碼的登錄嘗試。因此，在帳號安全側(cè)，撞庫相關(guān)攻擊實際占據(jù)了80%以上的份額。

2. DDoS 攻擊

從2018年情況統(tǒng)計中，游戲行業(yè)仍為DDoS 攻擊主要目標(biāo)，其中移動 Web 游戲被攻擊數(shù)量明顯增加。從被攻擊游戲分類看，端游與手游依然占比最大。

3. 外掛

2018年主要外掛集中在手游的吃雞類游戲上，其中外掛熱度排名前四的吃雞類手游占據(jù)了超過60%的關(guān)注度，加上 PC 端的射擊類游戲，射擊類外掛已然占據(jù)了70%以上。

4. 其他

其他攻擊還包括主要集中在 App Store 平臺的代充值類問題，比如：外幣匯率差、黑卡和盜刷信用卡等。

移動游戲行業(yè)發(fā)展，需與游戲安全比翼齊飛

移動游戲安全問題逐漸泛濫已經(jīng)引起了政府監(jiān)管部門的關(guān)注，政府監(jiān)管部門已明顯放慢了版號審批速度，實施網(wǎng)絡(luò)游戲總量調(diào)控，同時也采取了一系列相應(yīng)措施：

2017年12月，中共中央宣傳部、中央網(wǎng)信辦、工業(yè)和信息化部、教育部、公安部、文化部、國家工商總局、國家新聞出版廣電總局聯(lián)合印發(fā)《關(guān)于嚴(yán)格規(guī)范網(wǎng)絡(luò)游戲市場管理的意見》(以下簡稱《意見》)，部署對網(wǎng)絡(luò)游戲違法違規(guī)行為和不良內(nèi)容進(jìn)行集中整治?！兑庖姟分忻鞔_提出：“網(wǎng)絡(luò)游戲系統(tǒng)安全、用戶信息安全問題較為突出，個人信息泄露、賬號非法交易現(xiàn)象較為普遍。同時，管理體制機(jī)制與市場發(fā)展還不完全匹配，相關(guān)法律法規(guī)還不夠健全，方式手段還不夠完善，糾錯懲戒不足以形成震懾?！?/p>

2018年2月5日下午，浦東網(wǎng)安支隊召開浦東地區(qū)游戲行業(yè)網(wǎng)絡(luò)安全工作會，會議就目前網(wǎng)游行業(yè)發(fā)展所導(dǎo)致的文化內(nèi)容缺失等突出問題為背景，向浦東地區(qū)的114家網(wǎng)絡(luò)游戲企業(yè)下發(fā)《網(wǎng)絡(luò)游戲企業(yè)基礎(chǔ)排摸調(diào)研表》，并開展法律法規(guī)教育，要求各單位核實并上報本單位的信息安全問題。

與此同時，全國很多監(jiān)管部門也在加緊行動，全面排查，加緊規(guī)范整治。在2018年12月21日舉行的中國游戲產(chǎn)業(yè)年會上，中宣部出版局有關(guān)人士表示：“首批送審游戲已經(jīng)完成審核，正在抓緊核發(fā)版號”，說明暫停已久的移動游戲?qū)徟匦聠?，移動游戲行業(yè)又將迎來新的春天。而未來，移動游戲的健康發(fā)展更需要安全系統(tǒng)的有力加持。

移動游戲主要安全攻擊分析

移動游戲可分為單機(jī)游戲和網(wǎng)絡(luò)游戲兩大類，基于不同類別游戲特點進(jìn)行分析：

1.單機(jī)游戲

這類游戲所有的數(shù)據(jù)基本都在本地，面臨的分析主要有內(nèi)購破解，二次打包，游戲修改器等威脅。因為數(shù)據(jù)基本都在本地，攻擊者可以修改本地數(shù)據(jù)達(dá)到一些非法的目的，比如：修改生命值，增加金錢，修改傷害值等。

還有一些抄襲者將游戲徹底分析，或者重新二次代碼，只修改游戲里面的原有包名，和游戲人物角色ui和名稱，可以快速開發(fā)一款同類產(chǎn)品，減少開發(fā)周期。還有就是直接盜用，修改支付鏈接，轉(zhuǎn)換為自己的，并將付費額度修改為比正版更低的價格。

2.網(wǎng)絡(luò)游戲：

這類游戲主要的數(shù)據(jù)是和服務(wù)器進(jìn)行交互，有些戰(zhàn)斗數(shù)據(jù)計算可能在本地或者是服務(wù)器，應(yīng)對本地計算的，建議放到服務(wù)器計算，這樣安全性更高。主要的威脅有：外掛，私服，第三方抄襲等。

外掛：可以通過分析游戲的核心數(shù)據(jù)，分析游戲的內(nèi)部代碼達(dá)到一些非法操作，比如脫機(jī)掛可以自動注冊游戲，進(jìn)行游戲通關(guān)操作、刷金幣、刷等級等;還有通過外掛可以加速游戲運行，縮短游戲打斗。

私服：這種情況是通過破解游戲和服務(wù)器的通信協(xié)議自建服務(wù)器，將游戲網(wǎng)絡(luò)地址給為自建服務(wù)器地址。

第三方抄襲：破解游戲后，分析游戲的數(shù)值數(shù)據(jù)、關(guān)卡配置等一系列的數(shù)據(jù)信息。若為網(wǎng)絡(luò)數(shù)據(jù)則通過抓包等手段進(jìn)行分析，開發(fā)者只需要修改ui等手段即可以快速出一款同類游戲，減少了策劃等工作。

造成安全問題的技術(shù)實現(xiàn)分析：

1.內(nèi)購破解：

通過暴力破解方式，繞過/破解支付校驗代碼，支付框架、sdk破解，造成收入嚴(yán)重受損。

2.修改內(nèi)存

通過內(nèi)存注入、動態(tài)調(diào)試、內(nèi)存dump等操作惡意篡改游戲內(nèi)容，造成游戲平衡性下降。

3.二次打包

篡改游戲代碼、更換游戲logo、皮膚、包名，篡改后的游戲，造成扣費、流量損耗、彈廣告等等，造成公司名義受損。

4.游戲修改器

游戲修改器對幾乎所有的游戲都會造成嚴(yán)重破壞，修改游戲?qū)傩灾担瑖?yán)重破壞游戲平衡，付費環(huán)節(jié)變得沒有任何作用，收入變低，用戶興趣低，用戶量損失。

5.核心技術(shù)、數(shù)據(jù)信息丟失

通過破解方式，獲取游戲核心代碼，對公司自主產(chǎn)權(quán)造成嚴(yán)重?fù)p害，游戲數(shù)據(jù)信息丟失、玩家個人信息數(shù)據(jù)泄露。

移動游戲安全解決方案解析

1.Java代碼vmp加密

對dex文件進(jìn)行native指令化轉(zhuǎn)化，并且以native方式還原到安卓內(nèi)存中，即使使用dump手段dump出當(dāng)前部分代碼，也是經(jīng)過native處理過的代碼，不會還原成APP源代碼。

2.動態(tài)調(diào)試保護(hù)

(1)防動態(tài)注入

防注入保護(hù)，能防止APP運行時通過注入的方式獲取APP隱私數(shù)據(jù)、使用hook等方式劫持APP的正常運行流程等。當(dāng)加固后的APP檢測到注入時，APP會自動退出運行。

(2)防動態(tài)調(diào)試

反調(diào)試機(jī)制能夠拒絕調(diào)試工具的附加操作，阻止調(diào)試器對移動應(yīng)用調(diào)試分析其業(yè)務(wù)邏輯代碼，一旦被加固的程序檢測到有如gdb等調(diào)試操作將自動退出運行。

(3)防內(nèi)存dump

防內(nèi)存dump保護(hù)，能有效阻止gdb dump等操作，同時因為代碼采用函數(shù)體分離方式和native化保護(hù)，代碼都是以單個函數(shù)還原到內(nèi)存中，而內(nèi)存中的代碼也是經(jīng)過native處理，及時dump出當(dāng)前代碼片段，也是經(jīng)過native方式處理后的代碼，不會還原成源代碼。

3.防二次打包

對簽名做完整性校驗保護(hù)，一旦更改簽名文件，程序?qū)⒉粫俅芜\行。

4.So源碼混淆

對SO文件做加密和自定義加載處理，除此之外還會對SO文件中字符串加密和代碼混淆處理，層層防止攻擊者提取SO文件和對其二進(jìn)制代碼做反編譯和反匯編處理。

對Objective-C、C、C++編譯后的Native代碼進(jìn)行代碼混淆處理，被混淆過后的代碼中存在多余代碼、怪癖語法、冗余邏輯判斷，冗余函數(shù)調(diào)用等難以閱讀和理解的代碼，結(jié)合字符串加密和反調(diào)試機(jī)制等功能，讓攻擊者無法反編譯，從而有效的保護(hù)源代碼安全。

5.代碼虛擬化保護(hù)

采用基于LLVM編譯器中間層實現(xiàn)的虛擬化編譯器，可通過虛擬CPU解釋器以及虛擬IR指令，將原始CPU指令進(jìn)行加密轉(zhuǎn)換處理為只能由虛擬解釋器解釋執(zhí)行的虛擬指令，能夠完全隱藏函數(shù)代碼邏輯，以及函數(shù)及變量之間的依賴關(guān)系。

6.其他安全建議

iOS安全建議，為了防止在Android端無法分析出協(xié)議，但是可以通過iOS端分析的情況發(fā)生，建議iOS端也做安全加密操作，iOS端源碼混淆功能與so文件源碼混淆功能相同，字符串加密、代碼結(jié)構(gòu)邏輯混淆、指令替換、控制流平坦化，虛假控制流等。

實 例 解 構(gòu)

幾維安全作為全球首家實現(xiàn)移動端虛擬化技術(shù)的廠商，通過長期研究開發(fā)，形成了專有技術(shù)KiwiVM虛擬化保護(hù)方案，實現(xiàn)CPU指令虛擬化，對手游的核心代碼進(jìn)行安全編譯、生成受保護(hù)的安全模塊，從而避免因破解造成的安全風(fēng)險。

以幾維安全為某移動游戲企業(yè)提供的安全加固案例為例進(jìn)行解構(gòu)：

1、基于公司現(xiàn)狀進(jìn)行安全風(fēng)險分析，梳理出該公司的安全加固需求：

(1)手游基于Unity3d引擎開發(fā)，核心DLL文件存在被逆向破解的風(fēng)險;

(2)不具備正版校驗機(jī)制，偽冒、盜版手游影響正版手游的正常運營;

(3)游戲修改器、脫機(jī)掛破壞游戲的公平性，付費用戶逐漸流失。

2、結(jié)合該公司的特點，擬定端到端的整體安全防護(hù)方案：

3.以整體安全體系架構(gòu)為基礎(chǔ)，根據(jù)需求進(jìn)行單產(chǎn)品或產(chǎn)品組合部署

如：在該案例中提供《KiwiVM虛擬機(jī)》和《Unity3D手游加密》方案，保護(hù)企業(yè)核心代碼，保障手游正常的運營與推廣。

(1)提供KiwiVM虛擬化服務(wù)

KiwiVM是基于Clang編譯器擴(kuò)展實現(xiàn)的VM虛擬機(jī)編譯器, 在編譯時直接對指定的函數(shù)[代碼]實施虛擬化處理。其加密過程不可逆，攻擊者無法還原代碼，分析核心業(yè)務(wù)邏輯?？蓭椭写笮推髽I(yè)在通信、支付、算法、核心技術(shù)等模塊進(jìn)行深度加密，避免因逆向破解問題造成的經(jīng)濟(jì)損失。

(2)Unity3D手游加密服務(wù)

Unity3D手游加固服務(wù)是在APP安全加固的基礎(chǔ)之上，針對Unity3D手游，擴(kuò)展了函數(shù)級[或整體級]的DLL文件加密功能，避免DLL文件被 .NET Reflector 等破解工具提取C#源代碼。與DEX加密、防二次打包、內(nèi)存保護(hù)、反調(diào)試、防系統(tǒng)加速掛等功能配合形成一套完整的Unity3D手游加密方案。

登錄移動安全管理平臺即可使用。DLL函數(shù)級加密為企業(yè)版，其算法有幾十種可供選擇，同時對這些加密算法都有高強(qiáng)度的加密保護(hù)，攻擊者無法通過Dump內(nèi)存數(shù)據(jù)來竊取C#源代碼。

結(jié) 語

移動游戲安全系統(tǒng)價值在于維護(hù)公平的游戲環(huán)境、保護(hù)玩家財產(chǎn)、提高用戶體驗感。千錘百煉，鍛造移動游戲安全防護(hù)黃金鎧甲，為企業(yè)樹立可信品牌，使用戶安心馳騁在手游疆場，助力游戲行業(yè)在移動互聯(lián)網(wǎng)大發(fā)展浪潮中更蓬勃的發(fā)展。