安全无小事安全测试开展思路提前曝光安全问题和外挂风险

随着大量外挂、辅助、工作室等非法赢利团队借由联通游戏产业迅猛发展的东风趁虚而入，对游戏开发商和玩家来说都引起了不小的伤害，安全问题成为手游发展不容忽略的前提。本文告诉你怎样从技术的角度来提早爆光这种安全问题和外挂风险。

安全无小事安全测试举办思路随着智能手机的全面普及和市场泛娱乐化，联通游戏行业发展迅猛，无论是市场收入还是用户规模，手游在游戏市场上早已抢占了半壁江山。这么火爆的市场吸引了大量外挂、辅助、工作室等非法赢利团队，严重影响了游戏的利润、平衡，减短游戏的生命周期，下边我们来瞧瞧外挂对手游有什么害处。

安全无小事，怎么从技术的角度来提早爆光这种安全问题和外挂风险呢？腾讯SR（，安全雷达，腾讯手游安全测试的专项技术方案）手游安全测试团队从2011年初开始对手游安全这个领域进行探求和技术积累，致力通过提早发觉游戏版本的安全漏洞，预警风险，帮助提升腾讯游戏的品牌和口碑。

安全测试与项目发布同行为了帮助项目在发布前发觉并修补安全问题，在游戏版本转功能测试的阶段SR手游安全专项测试就介入。

SR手游安全测试经过若干轮的效率优化，早已将一轮安全测试的时间压缩至3天，可以输出《SR手游安全测试报告》。项目修补漏洞后，仍由SR专项团队进行安全漏洞的回归检测早游戏bt手游官网，并确保项目按版本计划进行发布。提前揭发安全漏洞，可以帮助项目在开发阶段进行安全对抗和策略加固，防止在项目营运时，与外挂对抗的被动局面。同时，也从根本上减少了外挂带来的玩家流失和营运损失。

专家测试依照手游安全测试的需求，主要涉及到手游项目中的测试范围及测试内容的规定。提供专家手游安全测试服务，会有腾讯内部的手游安全测试专家进行测试、问题沟通跟进、处理优化检测等等。

1.测试设计，按照相应游戏的内容进行测试设计，找出游戏中的获利点，结合SR安全检测项，可以对游戏的内容进行完整覆盖2.专家互评，对风险检测点进行查漏补缺，保证完整覆盖3.测试执行，根据风险检测点，使用SR工具执行测试检测，主要进行函数更改、协议更改、内存更改、变速、脚本更改、静态漏洞扫描4.递交漏洞，测试专家根据SR漏洞模板递交漏洞，根据《漏洞评级标准》进行漏洞定级和内容的初审5.安全报告，由安全专家按照发觉的问题和游戏整体对安全性进行评估并输出安全测试报告6.漏洞回归，漏洞修补后，从新递交修补版本进行回归，SR评估漏洞修补情况并反馈推论

手动化测试1.宕机漏洞扫描服务，通过智能剖析合同来填充模糊测试case，发送到服务器，测试服务器的可靠性、健壮性2.合同/函数风险扫描，通过AI算法学习安全风险模型，读取游戏函数、协议数据后进行智能剖析，具备2小时输出安全测试报告的能力

SR安全测试技术方案按照以上的规划思路，SR团队聚焦在漏洞挖掘的能力和效率提高上进行手游安全测试技术创新。整个技术方案最大的难点在于，手游与传统的APP差别很大，不重游戏的玩法、技术实现都不一样，我们怎么研制一套普适的方案，来满足不重游戏的安全测试需求。经过几年的研制与优化，SR团队总算做到了，兼容了数百款腾讯自研、代理游戏，构建了业界领先的手游安全测试技术方案。

SR独创的安全测试技术

入选腾讯公司级卓越研制奖业界独创的动态更改手游顾客端程序的安全测试技术、基于对象的手游显存安全测试技术多种领先的手动化风险扫描技术拥有多项国家级技术专利

SR手游安全测试团队将初审的内容分为静态安全漏洞和动态安全漏洞。不同类型的问题测试思路和剖析手段会有不同，对测试工具和测试方式也会有差异。

静态漏洞扫描主要通过静态扫描的方法，对游戏apk中配置档、资源文件、脚本文件、.xml、so文件，通过手动扫描的方法来进行检测项的确认。（目前此块内容已集成到SR手游安全测试方案中，覆盖了120+条安全检测项和信息安全测试项）

动态风险剖析动态安全测试涉及的内容广泛，主要是依据游戏特定的内容和玩法，针对性地剖析安全风险点，通过合同、函数、内存、脚本等技术，多维度检测游戏服务器对相应的风险点是否有建立的校准或反外挂策略。

依据对漏洞类型的提炼，SR手游安全测试团队总结了按照游戏中的获利点而生成的风险点，之后在不同的游戏中，结合具体玩法，又推导入相应的受益形式。一般按照风险点剖析的方法，可以完整覆盖到游戏中涉及到安全的部份，结合检测点，就生成了可以在实际操作中执行的用例，产生闭环。

手游安全测试对于技术的要求也是十分高的，须要专业的技术人员进行逆向剖析和工具支持，否则上述的测试点很有可能是纸上谈兵，但毫不夸大地说SR手游安全测试早已拥有了这种技术积累。依据对测试检测点的剖析，我们须要的安全测试工具包括：函数更改、内存更改、变速更改、协议更改、脚本更改。

SR手游安全测试深度揭秘在SR工具最新的版本上早已集成了所有安全测试的辅助功能。下边从技术实现和工具疗效上来展示各大功能的情况。双端合同更改

SR工具通过直接注入游戏的组包函数，手动解析合同结构，免去了须要依赖测试人员剖析二补码数据进行合同破解。在没有合同结构文件时也能手动解析合同结构。手机和web端都可以进行合同数据展示，在手机上可以施行地显示合同分包的疗效，在web上可以动态一键更改相应数组，互补不足。

从目前支持和接入的游戏来看，SR工具早已对目前腾讯在研和营运的游戏达到了100%的支持，从合同类型上支持和引擎类型来看，也基本覆盖了当前所有的游戏类型：

函数动态更改

对于单局类玩法的手游，函数动态更改具备最强的漏洞能力。并且初期的测试方式效率十分低下，须要每位函数单独编撰hook函数、定义函数表针变量、申请独立hook资源、重新编译代码。同时，使用门槛很高，只有专业的安全专项测试人员能够操作。SR函数动态更改通过动态通用hook技术，不须要测试人员再进行hook函数编码。

方案疗效：函数动态更改方案共覆盖安全检测风险项81项安全初审单个版本时间由15天降低到3天函数更改测试成本增加70%

显存对象更改

业界首创手游显存更改技术，为测试人员直接展示游玩戏中对象列表、对象属性名称、属性值等信息早游戏bt手游官网，但是可以对象为单位进行搜索，以革新形式挥别传统手游显存测试工具搜索“内存数值”方式定位目标显存地址的低效方案最新传奇，实现该项测试成本增加70%。

显存对象一目了然获取显存中所有对象、对象名、地址、属性值对象数据动态更新动态更新显存对象动态更改实时生效直接更改对象属性，游戏内即时生效

合同数组模糊测试：拒绝服务功击即功击者想办法让目标机器停止提供服务，是黑客常用的功击手段之一。玩家的异常操作、黑客异常分包、批量分包等都可能造成服务器宕机，影响游戏的正常营运，玩家不能正常游戏。初期的合同测试中有设计异常分包case，检测是否会造成服务器宕机。并且这些方法测试效率很低，覆盖的异常点十分少。SR结合内网模糊测试工具和常年合同测试积累的宕机case，研制了这套系统。

SR数组模糊测试的case覆盖的合同用例类型包括：

通过对于数组类型的剖析后，手动填充相关的数组的异常类型值，来组包发送给服务器，进行服务器的模糊测试。解决了传统合同测试执行效率低、定位问题慢、覆盖分支少的问题。

测试流程如下：

模糊测试执行过程中不须要测试人员过多参与，就可以发觉大量的安全问题。支持设备并发执行，智能分配测试机执行任务，执行任务的效率之高。发觉问题后可以智能定位合同与数组，帮助开发人员快速定位问题。扫描覆盖检测规则31项，包括数值溢出、sql注入、格式字符串、缓冲区溢出，早已完全覆盖合同模糊测试的类型，且数据还在不断降低中。手动化疗效：通过手动化扫描发觉服务器宕机问题83例；检测所有合同数组的异常值填充，平均每款游戏执行合同异常用例+条，弥补手工测试未能完成的空缺；单个游戏1小时内可测试用例10000条以上，效率提高巨大；扫描覆盖检测规则31项，包括空表针、数值溢出、sql注入、格式字符串、缓冲区溢出等测试项。函数风险扫描技术：

对大量安全漏洞进行风险定义、特征定义与分类，引入模式辨识技术，构建手游安全风险剖析模型，手动剖析游玩戏高危风险函数，有效帮助测试人员省掉最为历时的风险剖析环节，实现单个手游版本漏洞测试时长从3个工作日增加到1个工作日。

SR手游安全测试支持项目情况：

SR手游安全测试方案在工具上早已支持所有腾讯在研和营运的手游项目，借助自身的技术积累来提升专业程度，持续保持漏洞的发觉率。目前在SR手游安全测试团队过审的项目漏洞发觉率为100%，得到了越来越多的项目认可。通过对腾讯高星级手游的安全测试发觉2213个安全漏洞，且整体的数据呈上升的趋势。各大手游厂商在关注营运存留，收入的同时，这种数据同样值得思索！！

通过数据统计我们发觉，高危的漏洞反倒在手游安全测试的过程中更容易被发觉，带来的风险也是更致命的。在腾讯内部，通过SR手游安全测试的推进，这种安全问题也在项目组得到了修补，为腾讯游戏创造了一个公正竞技，安全营运的游戏生态环境。如今这部份的功能开始对外合作，有须要的厂商可以联系。接出来和你们分享部份案例，案例中的所有问题都已得到了解决。

精典案例分享【案例1】PVE模式中，动态更改游戏进程中多处代码逻辑，实现“无敌+全屏秒杀外挂”

【案例2】韩信[无情冲锋]技能超远距离释放，借助漏洞进行全图范围内的突进功能。

[无情冲锋]属于炮弹型技能，即释放时须要指定一个突进的方向。将技能类型强制更改为指定施法坐标的类型，指定技能落点位置座标，就才能获得全图突进疗效。

【案例3】篡改功击对象list与伤害逻辑，导致全屏秒杀疗效

【案例4】篡改使用物品合同恳求中消耗数目，实现无限开箱子刷武器

安全漏洞说明：以上安全漏洞在即将环境中都已修补，或加入了反外挂机制。本文以白帽渗透测试的角度，介绍在游戏版本发布前的测试阶段，通过“黑盒测试”的形式逐渐剖析游戏业务逻辑中的风险点，主动挖掘潜在安全漏洞，最大程度防止最终发布版本中的游戏外挂风险。

SR手游安全测试提供的服务【专家安全测试】无漏洞不收费，只须要提供apk包，可在约定时间内领到一份安全评估报告

【安全测试工具】（正式开放）开放腾讯安全测试专业工具，增加企业手游安全测试技术门槛腾讯SR手游安全测试团队经过对手游安全领域多年的探求和技术积累，构建出了业界领先的手游安全测试技术方案——SR手游安全测试方案，在工具上早已支持所有腾讯在研和营运的手游项目，借助自身的技术积累来提升专业程度，持续保持漏洞的发觉率。目前提供了专家测试和手动化测试，希望通过提早发觉游戏版本的安全漏洞，预警风险，帮助提升腾讯游戏的品牌和口碑。

腾讯SR手游安全测试团队即将进驻腾讯，目前免费开放预约中，欢迎每一个须要“安全”保护的你前来预约！

分享到：