網遊外掛技術剖析：從按鍵模擬、記憶體修改到封包攔截的演進與防禦思考

網遊外掛（Cheat）按技術深度可分五級：按鍵/滑鼠模擬、本地記憶體修改、木馬竊取帳號、遊戲加速、網路封包攔截修改。本文技術視角剖析前四類實作原理與關鍵 API，並探討封包外掛的高難度特性，最後提綱挈領指出防禦方向。純屬技術研究，嚴禁用於破壞遊戲公平或竊取帳號。

第一級：按鍵/滑鼠模擬（入門）

模擬使用者輸入，讓角色自動移動、攻擊。核心 API：

• GetCursorPos / SetCursorPos：取得/設定滑鼠座標
• mouse_event：MOUSEEVENTF_LEFTDOWN、MOUSEEVENTF_LEFTUP、MOUSEEVENTF_MOVE
• keybd_event + MapVirtualKey：模擬鍵盤組合鍵（如 Ctrl+A）

// 自動移動滑鼠點擊
GetCursorPos(OldPos);
SetCursorPos(RandomX, RandomY);
mouse_event(MOUSEEVENTF_LEFTDOWN, 0, 0, 0, 0);
mouse_event(MOUSEEVENTF_LEFTUP, 0, 0, 0, 0);
SetCursorPos(OldPos.X, OldPos.Y);

// 模擬 Ctrl+A
keybd_event(VK_CONTROL, MapVirtualKey(VK_CONTROL,0), 0, 0);
keybd_event(Ord('A'), MapVirtualKey(Ord('A'),0), 0, 0);
keybd_event(Ord('A'), MapVirtualKey(Ord('A'),0), KEYEVENTF_KEYUP, 0);
keybd_event(VK_CONTROL, MapVirtualKey(VK_CONTROL,0), KEYEVENTF_KEYUP, 0);

特徵：不侵入遊戲進程，易被反外掛偵測滑鼠軌跡/點擊頻率識別。

第二級：本地記憶體修改（進階）

直接修改遊戲進程記憶體中的數值（血量、金幣、座標）。流程：

1. FindWindow 取得視窗句柄
2. GetWindowThreadProcessId 取得 Process ID
3. OpenProcess(PROCESS_ALL_ACCESS) 取得最高權限控制代碼
4. WriteProcessMemory 寫入指定位址
5. CloseHandle 釋放

hw := FindWindow('GameWindowClass', nil);
GetWindowThreadProcessId(hw, @pid);
h := OpenProcess(PROCESS_ALL_ACCESS, False, pid);
WriteProcessMemory(h, Pointer($004219F4), @NewValue, SizeOf(NewValue), Written);
CloseHandle(h);

難點在於定址：靜態位址易失效，動態位址需掃描特徵碼或多級指標鏈。雙重校驗機制（兩個位址同步）增加修改難度。

第三級：木馬竊取帳號（惡意）

Hook 鍵盤訊息（SetWindowsHookEx(WH_KEYBOARD)）或輪詢 GetAsyncKeyState 記錄輸入，發送至攻擊者信箱。嚴重違法，嚴禁實作與傳播。

第四級：遊戲加速（特殊）

修改系統計時器解析度（timeBeginPeriod）或 Hook GetTickCount/QueryPerformanceCounter 讓遊戲邏輯以加速時間運行。易導致遊戲邏輯錯亂、伺服器偵測封號。

第五級：封包攔截修改（最高難度）

1. Hook Winsock send/recv/WSASend/WSARecv（或使用 NDIS/LSP/TDI 驅動層）
2. 解析協定結構（長度、指令碼、Payload）
3. 攔截關鍵封包（移動、攻擊、交易），修改關鍵欄位後重發
4. 需處理加密、壓縮、序號、校驗碼、重放保護

工具：WPE Pro、Winsock Packet Editor。開發語言多為 C/C++，Delphi/VB 需內嵌組語或賴第三方 Hook 庫。

防禦體系建議

技術無善惡，用途定性質。理解外掛原理，是為了建構更堅固的防禦體系，守護遊戲生態公平。