返回文章

Riot Vanguard 的真正对手 - UEFI和DMA

Riot Vanguard通过硬件完整性检查和虚拟化隔离防御内核级作弊，但对UEFI注入、DMA硬件等底层攻击难以防范，后者依赖物理手段绕过检测。

Vanguard 内核级对抗示意图

以前，脚本开发者通过 Ring 0 驱动就能轻松“碾压”用户态游戏，但 Riot Vanguard 等现代反作弊系统引入了“信任基准”验证：

1. 硬件完整性检查 (Platform Attestation)

Riot 现在强制要求开启 Secure Boot（安全启动）、TPM 2.0 和 IOMMU。

  • 如果你的系统启动链路有任何篡改（如被 UEFI Bootkit 修改），TPM 模块中的度量值（Measurement）会发生变化，导致系统无法通过远程验证，从而直接拒绝启动游戏。

2. 虚拟化隔离 (VBS/HVCI)

当系统开启了 VT（虚拟化技术） 后，Windows 会启用 VBS（虚拟化安全）。它利用硬件 Hypervisor 将核心内存（内核代码、反作弊驱动）放入一个外挂完全触碰不到的保护容器。即便脚本拥有 Ring 0 权限，在 VBS 的约束下也无法写入或修改受保护的内存。

Secure Boot 密钥签名与吊销机制

1. Ring 0 驱动外挂 (Kernel-Level Cheats) 怎么绕过

本质： 内核权限的“寄生者” 工作方式： 这类外挂通过加载一个签名的内核驱动（Driver）进入 Ring 0 空间。由于它与反作弊驱动（Vanguard）处于同一层级，它拥有对所有内存、线程和系统对象的直接读写权限。它不需要像用户态程序那样请求 OS 系统调用，而是直接操作底层数据结构。

如何绕过：

  • 驱动签名与映射： 它们通常会购买或伪造合法的厂商签名（如被盗的驱动签名），以此骗过系统的驱动强制签名检查（DSE）。

  • 系统调用拦截 (Hooking)： 通过 Hook 内核中的关键函数（如 NtReadVirtualMemory 或各种 Callback），当反作弊尝试扫描内存时，驱动会拦截该请求并返回“干净”的数据，通过“造假”来欺骗检测。

  • 内存完整性干扰： 在内核级别主动定位反作弊驱动的扫描线程并将其挂起（Suspend），或者在扫描过程中动态修改内存映射表，制造“该区域无外挂特征”的假象。

2. UEFI 注入 (Bootkit/Rootkit) 怎么绕过

  • 本质： 固件级篡改（寄生虫）

  • 工作方式： 它直接修改主板固件（SPI Flash）或引导流程中的代码。它在操作系统内核加载之前就已经驻留并运行了。

  • 如何绕过：

    • 它修改了内核的校验函数，让内核“认为”环境是安全的

    • 因为它比操作系统（OS）启动得更早，所以它有能力对 OS 进行“降维监控”，甚至可以在 OS 运行期间修改内存中的反作弊检测逻辑。

3. DMA 硬件外挂 (Direct Memory Access) 怎么绕过

  • 本质： 硬件级物理读取（偷窥者）

  • 工作方式： 这完全不需要修改你的系统内核或固件。它依靠一张插入 PCIe 插槽的专用硬件卡（通常配合两台电脑使用，一台玩游戏，一台运行外挂软件）。DMA 卡可以通过硬件总线直接读取内存数据，完全不经过 CPU 和操作系统的参与。

  • 如何绕过：

    • 因为外挂代码运行在第二台电脑上，游戏电脑的 CPU 和系统里根本查不到任何“作弊软件”的进程。

    • 对游戏系统而言，DMA 卡就像一块合法的网卡或声卡，内存数据是被动被读取的，系统层面很难通过软件检测出这种“物理层面的读取”。

Riot 目前特别容易检测RING 0 类的脚本和防封，这是Riot的策略：

  • 防御侧： 通过 VBS 和 TPM 锁定环境，让你即便拥有 Ring 0 权限也无法修改关键内存。

  • 进攻侧： 通过“诱饵数据”和“流量分析”抓取你的作弊特征。

  • 威慑侧： 彻底的硬件封锁让作弊的“沉没成本”变得极高。

那些宣称“防封”的脚本，很多时候其实是开发者为了掩盖 Riot 正在进行“钓鱼”这一事实。一旦 Riot 决定收网（Wave Ban），无论脚本声称有多安全，所有特征匹配的账号都会被同步封禁。

但是 Riot 目前对UEFI和DMA注入的脚本难以防范，因为：
UEFI 注入之所以极难被发现，核心原因在于它运行在操作系统（OS）启动之前，处于安全防御体系的“最底层”，UEFI要你关闭VT，还要你关闭安全启动，并且在启动前伪造证书，让Riot放行，这种伪造是放到SPI Flash里的，是硬件层面的，是最高级别，Riot的Vanguard已经有极高权限了，但是UEFI的注入他还是无权过问。

在 Vanguard 时代，任何脚本（LS/BGX/NS）想要活下去，都必须依赖 UEFI 注入、物理 DMA 硬件、或虚拟化 Hypervisor 提权 这三种高维度物理手段中的一种作为盾牌。否则，单凭外挂自己那点软件层面的动态混淆，在系统级的内核保安 Vanguard 面前，撑不过三个回合就会被连人带电脑（HWID 封锁）彻底踢出局。

暂无评论