前言

当读取并修改内存这门功夫被恶意利用于在PvP类或数据存档保存在服务端的游戏中时

普通玩家在这时失去了玩游戏的意义。如CS中的陀螺

《那维莱特》（图来自网络，侵删）

虽然可以恰他打鸟狙（大部分情况）时的开枪间隔秒了他，但人家直接可以隔着墙看到你然后穿墙点头。这叫透视。

也正是因为陀螺们的存在，破坏了原有的竞技氛围。

因此，反作弊就诞生了。

从用户态开始

在Win中（毕竟Win主流打游戏嘛，当然Linux也可以对内存进行增删改查），有个API函数叫

BOOL WriteProcessMemory(HANDLE hProcess,LPVOID lpBaseAddress,LPVOID lpBuffer,DWORD nSize,LPDWORD lpNumberOfBytesWritten
);

，只要用OpenProcess()打开游戏进程，找到内存中游戏内金钱或生命的地址，即可改到无敌无限金钱（早期）。

但这个太简陋了，想要N合一的“纪”，于是便使用了DLL注入（Win）/ SO注入(*nix)。

注入模块后，可以在游戏内打开“纪”的控制面板，实现对应的神仙功能。

不过，这一招被Hook WinAPI或者检查内存的反作弊给破了，如VAC。

Valve Anti-Cheat，主要是检查在游戏进程运行时的进程列表以及模块加载情况，发现异常的模块会自动与云端的特征码库比对。当然这个库会一直收录对应挂的特征码（大部分通过玩家上传）。被VAC是无解的，除非误封。并且封禁时会记录当前设备的一些特征以追踪作弊者（？）

趣事：在CS2中，有些时候鼠标DPI太高还会被VAC，甚至是游戏/驱动更新也会导致VAC。不过只要你没在游戏处于VAC保护下运行挂是没事的。

深入Kernel

BattleEye，这个内核级（与Win高度耦合）的反作弊作出了比VAC的封禁更进一步的操作——封硬件。

原神最开始的反作弊 mhyprot2.sys 被爆出一开始的常驻后台运行到提供容易被病毒利用的提权后的内核级操作的函数，并且Linux wine完全不支持它（这个不是淘汰它的主要原因），

故改用 mhyprot3.sys（？）/HoYoKProtect.sys（HOYOVERSE版）。以下是这个文件的类型：

HoYoKProtect.sys: PE32+ executable (native) x86-64, for MS Windows, 8 sections

这玩意也是native（内核级调用）层的，目前对正常玩家来说是个黑盒子（里面啥都不知道）。

不过，为了获得在Linux下运行原神的能力，原神在检测到是以wine运行时就不加载该内核模块（？这是作者推测，不代表官方）。

跳出Client的盒子

当然客户端没有使用反作弊时（原神在Linux下？），服务端可以安排异常数据检测。

例如，一个0命满精鱼叉210.5分（喵版）圣遗物的“芽衣姐”在没有被动的情况下对91级独眼小宝一个大砍出 41750 伤害，在误差（不知道多少，但有个对应区间）允许的情况下属于正常范围。如果这时候开纪打出 99999 伤害，服务端就会“警撅”并持续追踪该玩家的伤害数据。（大可能是这样？）直至在深渊12层表现出异常时或者是极短时间内获取大量原石后封禁。（？）