游戏安全逆向 (Game Security)

适用范围

当任务属于以下场景时优先使用本 skill：

• 游戏反作弊机制分析（EAC、BattlEye、Vanguard、GameGuard）
• Unity 游戏逆向（IL2CPP / Mono）
• Unreal Engine 游戏逆向（UObject、Blueprint）
• 内存扫描与结构重建（Cheat Engine、ReClass.NET）
• 游戏保护壳分析（VMProtect、Themida）
• DBI 框架在游戏中的应用（Frida、DynamoRIO、Pin）
• 游戏 Mod/外挂原理分析
• 反调试/反 VM 绕过（游戏场景）

与其他 skill 的分工

场景	用什么
游戏逆向、反作弊、Unity/UE 分析	本 skill
通用二进制逆向（非游戏）	ida-reverse/ 或 radare2/
APK 游戏（Java 层）	apk-reverse/ → 如果核心在 so 则回到本 skill
通用反分析方法论	reverse-engineering/anti-analysis.md
动态 Hook（Frida 通用）	reverse-engineering/tools-dynamic.md

调试工具

Windows 调试器

工具	用途	适合场景
Cheat Engine	内存扫描、值搜索、指针扫描	游戏数值定位、结构发现
x64dbg	通用 x86/x64 调试	断点、跟踪、patch
WinDbg	内核/用户态调试	驱动级反作弊分析
ReClass.NET	内存结构重建	类/结构体逆向
HyperDbg	基于 Hypervisor 的调试	绕过内核级反调试

专项调试器

工具	用途
CE Mono Helper	Unity Mono 游戏调试
dnSpy	.NET 程序集调试/反编译
ILSpy	.NET 反编译（只读）
Frida	跨平台动态插桩

反汇编与反编译

多平台

工具	定位
IDA Pro	行业标准，深度分析 → 用 ida-reverse/ skill
Ghidra	免费替代，脚本能力强
Binary Ninja	现代 RE 平台，API 友好
Cutter	radare2 GUI 前端

游戏专项

工具	用途
IL2CPP Dumper	Unity IL2CPP 结构恢复
dnSpy	.NET/Unity Mono 反编译
Dumper-7	UE SDK 生成器
Recaf	Java 字节码编辑

内存分析

扫描工具

• Cheat Engine：模式扫描、值搜索、指针链
• ReClass.NET：结构重建、类继承关系
• Process Hacker：系统级进程分析

Dump 工具

• KsDumper：内核态进程 dump
• PE-bear：PE 文件分析
• ImHex：现代十六进制编辑器

动态二进制插桩 (DBI)

框架

框架	特点	适合场景
Frida	跨平台、JS 脚本	快速 Hook、API 追踪
DynamoRIO	运行时代码操作	代码覆盖、fuzzing
Pin	Intel 官方 DBI	精确指令级分析
TinyInst	轻量插桩	fuzzing harness
QBDI	QuarkslaB DBI	嵌入式/移动端

常见用途

1. API Hook 与追踪
2. 代码覆盖率分析
3. Fuzzing harness 构建
4. 行为分析

反分析绕过（游戏场景）

常见保护

• 反调试检测（IsDebuggerPresent、NtQueryInformationProcess）
• VM/沙箱检测
• 时间攻击检测
• PatchGuard（内核级）
• 驱动级保护（EAC、BattlEye 内核驱动）

绕过工具

• TitanHide：内核级反调试隐藏
• HyperHide：基于 Hypervisor 的隐藏
• ScyllaHide：x64dbg/IDA 反反调试插件

游戏引擎专项工作流

Unity 游戏 (IL2CPP)

1. 定位 GameAssembly.dll
2. 用 IL2CPP Dumper 恢复结构（dump.cs + script.json）
3. 在 IDA/Ghidra 中加载 GameAssembly.dll + dump 信息
4. 定位目标函数（通过类名/方法名搜索）
5. Hook 或 patch

Unity 游戏 (Mono)

1. 定位 Assembly-CSharp.dll（通常在 Managed/ 目录）
2. 用 dnSpy 打开，直接看 C# 源码
3. 修改逻辑 → 保存 → 替换原文件
4. 或用 Frida + CE Mono Helper 动态 Hook

Unreal Engine 游戏

1. 识别 UE 版本（从字符串/签名判断）
2. 用 Dumper-7 生成 SDK
3. 分析 UObject/UFunction 系统
4. Hook ProcessEvent 或目标函数

原生游戏（无引擎）

1. 标准 PE 分析（IDA/Ghidra/r2）
2. 导入表/导出表重建
3. 模式扫描定位关键签名
4. 运行时内存分析（CE + ReClass）

VMProtect / Themida 分析

思路

1. 识别保护类型和版本
2. 尝试脱壳（如果有已知脱壳器）
3. 如果无法脱壳：
   • 定位虚拟化 handler
   • 分析控制流
   • 用 DBI 追踪执行路径
4. 对关键函数做运行时 dump

注意

• 不要期望完全脱壳，很多时候只需要理解关键逻辑
• 优先用动态方法（Hook + trace）而不是死磕静态去虚拟化

推荐分析顺序

遇到游戏逆向任务时：

1. 确认游戏引擎（Unity/UE/原生）
2. 确认保护机制（反作弊类型、壳）
3. 选择对应工作流
4. 先用轻量工具侦察（CE 扫描、字符串搜索）
5. 再用重量工具深入（IDA 反编译、DBI 追踪）
6. 动态验证发现

数据源

本 skill 的工具列表参考了 awesome-game-security 项目。如需查找特定工具的 GitHub 链接或最新版本，可从该仓库获取。

---

按需自举（On-Demand Bootstrap）

自动化能力边界

工具	可自动安装	安装方式	说明
x64dbg	✗	手动下载	https://x64dbg.com/
Cheat Engine	✗	手动安装	https://cheatengine.org/
Ghidra	可扩展	GitHub Release ZIP	可加入 bootstrap-manifest
dnSpy	✗	手动下载	已停止维护，用 dnSpyEx fork
IL2CPP Dumper	✗	手动下载	https://github.com/Perfare/Il2CppDumper
Frida	✓	pip install frida-tools	已在 bootstrap 中
IDA Pro	✗	商业软件	用 ida-reverse/ skill
radare2	✓	GitHub Release ZIP	已在 bootstrap 中

说明

游戏安全工具大多是 GUI 应用或需要特殊环境（如内核驱动），不适合全自动 bootstrap。本 skill 主要提供方法论和工作流指导，工具安装以手动为主。

已经在 bootstrap 系统中的工具（Frida、radare2、IDA）可以直接复用对应 skill 的自举能力。

---

路由上下文

上游入口: skills/SKILL.md（总控）、routing.md 触发条件: 任务涉及游戏逆向、反作弊、Unity/UE、内存扫描、游戏保护壳 下游出口:

• 需要 IDA 深度分析 → ida-reverse/
• 需要 Frida Hook → reverse-engineering/tools-dynamic.md
• APK 游戏 Java 层 → apk-reverse/
• 通用反分析方法论 → reverse-engineering/anti-analysis.md

同级关联模块: reverse-engineering/（通用方法论）、ida-reverse/（深度反编译）