Re Anti Cheat

反作弊对抗分析（EAC / BattlEye / 内存校验）

何时使用 / 何时不用

• 用：分析反作弊组件（EAC / BattlEye / Vanguard 等）的驱动与服务、检测机制如何工作
• 用：游戏进程被反作弊拒绝/踢出后，理解"检测到了什么"（防御与研读视角）
• 用：反作弊驱动的静态逆向（DriverEntry、IRP、内存校验逻辑）与内核调试观察
• 不用：制作或分发作弊程序 / 在真实游戏环境实施绕过（明确禁止，见授权边界）
• 不用：只是游戏自身逻辑（内存修改、CE）→ [[re-game]]
• 不用：普通驱动分析（[[re-kernel]]）；用户态反调试（[[re-evasion]]）
• 授权边界（必读）：本技能仅限授权研究——自有设备、自有游戏账号、实验室环境、已获书面许可的安全研究。禁止：制作/分发作弊软件、在在线游戏中使用绕过手段获取不当优势、将检测机制分析用于破坏。所有动态实验在隔离沙箱（[[re-analyze/platform-tips]] 最高原则）内进行；分析结论以防御与研究视角产出（理解检测面 → 改进检测），不产出可操作的绕过工具。

工具准备

反作弊分析=驱动逆向 + 内核调试，全程隔离沙箱（[[re-analyze/platform-tips]] 最高原则）。所有工具先验证再使用。

驱动分析底座（[[re-kernel]]）

• 驱动静态：DriverEntry / IRP 分派 / 回调还原方法见 [[re-kernel]]「操作步骤」
• 反编译：[[re-ghidra]]（默认，导入 .sys 后 Data Type Manager 载入内核类型）
• 验证: 导入 EAC/BE 驱动 .sys 后 DriverEntry 能反编译

内核调试（[[re-windbg]]）

• 双机/VM 串口（COM Named Pipe）或 KDNET 配置见 [[re-windbg]]「工具准备」
• 内核调试是观察反作弊驱动内核侧执行路径的主要手段——不是整个反作弊系统唯一的动态手段（用户态组件另有观测面，见坑 1）
• 验证: 内核会话 lm 能看到目标反作弊驱动模块，.reload /f <驱动名> 加载符号

用户态快速定位（[[re-x64dbg]] / [[re-windbg]]）

• [[re-x64dbg]]：受保护进程之外的辅助组件（加载器、服务端）快速查看
• 目标可能带 PPL 保护但非必然——先查真实 protection level 再判定（GetProcessInformation(..., ProcessProtectionLevelInfo, ...) / Process Explorer / WinDbg），只有非 PROTECTION_LEVEL_NONE 才是 PPL（见坑 1）
• 验证: x64dbg 能打开普通目标 exe

系统工具（服务/驱动枚举）

• Windows 内置：sc query / driverquery / fltmc（文件系统过滤驱动列表）
• Sysinternals（微软官网）: Process Explorer（process explorer 查看受保护进程标记）、Sysmon
• 验证: driverquery 输出驱动列表；sc query EasyAntiCheat（EAC 服务名按版本变化）

操作步骤

按顺序执行，每步产物（组件清单、IRP 表、校验逻辑笔记）记录证据路径 + sha256（见 [[re-triage]]），供报告引用。所有步骤在授权范围与沙箱内进行（授权边界见「何时使用」）。

1. 反作弊组件识别（驱动 / 服务）：

   driverquery /v | findstr /i "anti cheat easy battle"     # 驱动层组件
   sc query | findstr /i "anti cheat easy battle vanguard"  # 服务层组件
   fltmc                                                    # 文件系统过滤驱动（完整性校验常在此）

   • 典型组件：EAC（EasyAntiCheat.sys + 用户态加载器）、BE（BEDaisy.sys + 用户态服务）、Vanguard（vgk.sys 驱动 + 常驻服务）；各厂商还有更新服务/反篡改守护
   • 记录：组件清单（驱动名/服务名/安装路径）+ 驱动文件 sha256（版本锚点，见坑 3）+ 自保护状态（查实际 protection level，不要默认 PPL）

2. 驱动校验分析（内存扫描 / 完整性）：

   • 静态还原（[[re-kernel]] 方法）：DriverEntry → IRP 分发表（IRP_MJ_DEVICE_CONTROL 等）→ 用户态 IOCTL 交互界面；重点找：
     • 完整性校验：定时/触发式校验游戏进程代码段与数据段哈希（MmCopyVirtualMemory/KeStackAttachProcess 类读取目标进程内存后计算）
     • 内存扫描：按特征扫描游戏进程内存（寻找修改后的代码/注入模块）
     • 回调注册：PsSetCreateProcessNotifyRoutine（监控进程创建）、PsSetLoadImageNotifyRoutine（监控模块加载）——校验逻辑的触发入口
   • 用户态组件：加载器与服务（[[re-binary-core]] 反编译）——心跳、报告通道、更新检查
   • 产物：检测机制清单（触发点 → 校验内容 → 处置动作）

3. 检测规避思路（授权范围内研究）：

   • 研究"检测机制如何工作"（防御视角），组织方式：检测面清单（完整性校验 / 内存特征 / 行为时序 / 驱动层监控）
   • 每个检测面的分析产出：检测条件、触发频率、报告通道（谁收到告警、什么格式）
   • 不实施：在真实游戏环境中的规避、绕过工具开发、外挂分发——超出授权边界（坑 2）
   • 分析用途建议：检测改进（给厂商/防御侧）、规则编写（[[re-ioc]] 思路：驱动特征、行为模式）

4. 内核对抗（[[re-kernel]] 联动）：

   • 内核调试会话（[[re-windbg]]）：断点打在回调函数 / 校验函数上观察触发时机与参数
   • 反作弊驱动对调试器的反制：检测调试端口 / 清调试寄存器（!dr）/ 蓝屏诱饵——分析时记录反制手段（防御视角的"检测面"组成部分），应对一律在沙箱 + 快照（[[re-analyze/platform-tips]] 最高原则）
   • 蓝屏风险：所有断点/触发实验在调试 VM 内做，操作前打快照（[[re-kernel]] 坑 4）
   • 产物：调试会话记录 + 反制手段清单

5. 分析报告（合规边界）：

   • 报告结构：授权范围声明 → 组件清单（版本/哈希）→ 检测机制（触发点/内容/动作）→ 反制手段 → 防御建议
   • 合规要点：报告标注授权环境与用途；不包含可操作的绕过步骤；不发布驱动密钥/签名材料；敏感结论走负责任披露（厂商安全团队/漏洞奖励）
   • 产物：报告存档（sha256）

跨域联合

• [[re-kernel]]：驱动逆向方法论底座（DriverEntry / IRP / 回调）+ 内核调试配合——本技能固定依赖
• [[re-windbg]]：内核调试会话、!analyze -v、断点与现场恢复（观察内核驱动执行路径的主要手段）
• [[re-x64dbg]]：用户态辅助组件（加载器/服务）快速定位
• [[re-game]]：游戏侧内存修改 / CE 思路——检测机制的"被检测对象"，对照理解
• [[re-evasion]]：用户态反调试 / 反分析对抗框架（与驱动层反制对照）
• [[re-ioc]]：检测特征 → YARA 规则 / 行为模式产出（防御视角）
• [[re-sandbox]] / [[re-analyze/platform-tips]]：隔离沙箱 + 快照最高原则（蓝屏与样本风险）