从XcodeGhost漏洞事件看手游安全测试
本文转载自：腾讯WeTest专栏--《从XcodeGhost漏洞事件看手游安全测试》
安全领域有一个词出现频率很高，XcodeGhost，这种病毒不仅会在应用运行时窃取用户信息，甚至还会模拟收费或帐号弹窗来窃取你的iCloud及iTunes密码。受影响应用数超过76款，涉及用户多达1个亿。
那么XcodeGhost究竟是什么？
简单的说，就是在iOS开发工具中加入一段恶意代码，导致凡是使用这个工具开发的APP都会被感染，而安装被感染APP的手机则会沦为黑客的“玩具”。
在用户心目中“坚不可摧”的苹果生态系统这一次遭遇了“信任危机”，人们开始发现苹果的安全防御机制比想象的更加脆弱。
“信任危机”是企业危机中最严重的之一。“信任危机”让企业无论做什么都会让用户产生怀疑，让企业的一切举措都将事倍功半。
从XcodeGhost漏洞事件来看手游领域，手游的安全问题是引发“信任危机”的重要导火索，作为安全领域的老鸟，在手游一片红海的当下，想谈谈手游安全的重要性，同时想给大家分享一些实用的手游安全测试方法。
一、为什么安全测试这么重要？
来看看几种常见的安全问题：
1.游戏盗号，利用安全漏洞对游戏内账号做批量盗取，对玩家的直接损伤不用提，盗号的资金流入市场影响的是整个游戏市场平衡。
2.外挂，从端游到页游，太多游戏是因为外挂问题被玩家抛弃，直接影响着玩家体验。
3.客户端二次打包，这个带来的风险比前几个都大，而且后患无穷。可能是直接被安装了购买插件，开发者的利润流向了黑客的口袋，更恐怖的是向玩家投放钓鱼病毒，直接获取玩家的银行账号等个人资产信息。
除了这些问题外，还有非常多的安全问题。这些问题都将直接、间接影响游戏游戏的收入、留存，给开发者造成重大损失。所以，如何预防安全问题迫在眉睫，安全测试应运而生。简单概括安全测试是泛指能够影响游戏平衡性，并且对游戏有破坏性和恶意影响的问题。包括几大安全领域：
包括网络帐号、网络充值的问题涉及到了网络安全的领域；
客户端的安全，反破解、反调试等属于软件安全的领域；
游戏外挂的检测与防御，就比较类似于杀毒软件的检测做法；
游戏内逻辑漏洞的检测，又更倾向于软件测试领域的内容；
还有游戏内的欺骗、钓鱼等方面。
二、该如何做安全测试？
其实游戏的本质，是客户端与服务器端的数据通信。安全测试的过程也主要是围绕数据来进行。手游安全测试，其实也是手游安全攻击的过程。在攻击的过程中，让其存在的安全问题自动显现出来。通过对数据的修改，让服务器端承认修改后的异常数据，就是安全测试所需要发现的问题。首先，开始手游安全测试前，需要对游戏的分类有大概了解。
在PC端游盛行的时代，网络游戏根据交互实现的不同就已经分为了两种类型。封包逻辑强校验的游戏，例如MMORPG等类型游戏，这类是主流。还有一类游戏，由于需要考虑到游戏的实时操作体验，使用的是UDP协议交互。这类游戏使用了弱校验的封包逻辑。
而到了手游时代，除了上述两个原因，还需要考虑手机不同于PC端的独特情况。因此，弱校验类型的游戏也变得更多。
针对强校验类型的游戏，一般情况只需要测试器游戏协议封包逻辑。因为，这种类型的游戏，在本地的所有关键数据都不参与运算，均是在服务器端进行的运算。
（二）常用手游安全测试方法
了解了游戏分类，下面从游戏逻辑内容的角度，说明常规的一些测试方法。
例如天天富翁和全民小镇等手机游戏，就是属于强校验的手游。玩家在天天富翁游戏内的每个基本操作，都有与服务器端通信处理。例如投掷骰子。
针对这些类型的游戏，并没有太多可以本地修改的内容。因为本地修改的内容，都会通过每个封包去与服务器端交互。
因此，只需要对游戏内的每个封包进行安全测试，那么这个游戏的安全问题，就比较有保证。封包测试时，可以从两个角度进行测试。
A、针对每个封包的字段内容，进行边界测试；
B、每个封包也可以在不同的场景下，尝试进行状态测试。
可以根据游戏的内容，对测试内容交互封包进行罗列，循序渐进，完成测试。
天天富翁的强制拍卖问题
（在天天富翁的前期版本，可以通过修改发送封包实现强制拍卖对方地标建筑的问题。该BUG为通过修改封包实现。）
而针对弱校验类型的游戏，其在本地有部分的计算替代了服务器端的计算逻辑。目前，更多的做法是在游戏结束时，将计算操作的数据保留发送向服务器端。由服务器端确认计算逻辑的有效性。
例如天天酷跑内角色在游戏内的跳跃等动作。
这种类型的游戏，测试重点则放在了内存数据修改和代码修改上。因为计算的数据存放在本地，虽然服务器端最终有校验处理，但不能够完全的保证校验处理的全面性。
常用的安卓内存修改器
对于手游来说，内存数据修改测试也是目前门槛最低的测试方法。但是测试的覆盖度，相对协议测试来说，没法准备的保证。但是可以根据单局游戏结束时，客户端向服务器端发送的封包、以及游戏界面上的显示数据等来确认可能可以修改的数据内容。
继续弱校验类游戏，当通过修改内存数据不能实现部分测试功能时，亦可通过修改代码实现。如下图。
针对于2dx类型的游戏，可以通过IDA分析so中的函数名称，定位关键函数，修改实现安全测试的功能。
而针对与unity类型的游戏，其主要逻辑代码均存放与C#的dll中。可以通过反编译获取源码后，修改IL代码实现测试功能。
针对于有些游戏，可以通过调整游戏的运行速度来实现测试功能。
希望的测试结果是，首先，游戏本身的防护可以阻止加速插件的加载；其次，如果可以加速效果，那么希望加速后可以不影响到游戏的功能和平衡性。
如果使用加速后，可以降低游戏难度，或者增加游戏得分，那这就属于安全的问题。
（三）Wetest手游安全测试
Wetest手游安全测试，主要侧重于Apk层面的权限、策略风险等问题。其主要功能包含有：
敏感权限检测、本地数据安全、网络数据安全、应用的C#源代码上的逻辑错误语法错误等问题。
目前市面上的其他保护，更多的是安全加固，提供保护方案。而Wetest的安全测试则侧重于安全扫描的功能，能够自动的发现一些Apk层面的问题，并且无需上传工程源代码。
三、结语
游戏安全领域的攻防向来是道高一尺魔高一丈，攻防双方都处于不断的演变和进化过程中，因此游戏安全防护需要长期持续的研究与投入，是场持久战。
个人认为，手游的安全问题，不是就单靠技术就能完全解决的问题。技术手段只是提高了门槛，并没有从根本上解决手游的安全问题。
这是需要从多方面多管齐下，例如技术防护提高门槛，用户反馈提供渠道信息，法律角度增强威慑。需要提供从多个维度来保护才能达到比较理想的效果。
