首先，我想说明几点：
第一，这篇文章并不是具体教你如何写外挂，只是带你大致浏览一下网游外挂的制作流程，并就其中的一些关键技术点加以简单说明。大家可以用看故事书的心情来阅读此文，了解一下网游外挂制作过程中的一些原理。
第二，网游数据的破解爱麻烦，通常一个网游外挂制作团队内都有一名破解高手坐镇。所以碰到破解方面的问题我就只能一笔带过了。
一、游戏封包的加密与解密算法的破解
破解封包的加密与解密算法是制作外挂的第一步，是外挂制作中最具技术含量的步骤，同样也是一个十分令人头痛的环节。如果加密与解密算法被成功地破解，那么外挂制作也就完成了一半。破解封包的加密与解密算法的行为同样属于黑客们其中之一的行为，因此我们可以在黑客网站里找到相应的资料，另外网络上也有专门的破解网站为大家提供信息。
在破解封包的加密与解密算法之前我们首先需要知道一些情况。我们知道随着机器性能的提高与网络带宽的提升，新的游戏运行商对游戏封包的加密与解密算法的设计变得越来复杂。那种原先通过分析封包数据就可以得出加密与解密算法的时代已经变成了过去。现在如果再要破解一个游戏的封包的加密与解密算法，那么其必须通过分析程序源代码才能清楚。
1.1 封包的概念 本文所讲的封包是指由sockets协议进行发送与接收的数据包。广义的封包是指计算机之间互相进行通信的数据包，其可以因通信协议的不同而在内容上有所不同。
1.2 破解原理 目前破解封包加密与解密算法的方法主要是通过动态调试技术来实现的。其原理是首先通过动态调试跟踪并取出加密与解密算法的代码段，然后再通过分析这些代码最终得出结论。
那为什么我们可以跟踪并取得这些代码呢？首先我们知道无论游戏程序如何设计，其加密与解密算法的代码永远存在于程序中；其次我们知道在程序流的执行过程中，加密与解密算法的代码段一定会被执行。
1.3 破解需要具备的知识 要能顺利进行破解则必须具备一定的知识，一是熟练掌握汇编原理与汇编语言，二是要熟悉加壳与脱壳原理（虽然很多游戏不需要），三是要熟悉代码结构的知识，四是要熟悉动态调试技术与调试工具的使用，五是具有高级语言知识与较高的编程修为。
1.4 破解的技术与方法 动态调试工具我们可以采用OllyDbg工具或其他工具，不熟悉OllyDbg工具的可以查看它的中文帮助。动态调试主要是跟踪代码的执行，而我们查找加密与解密代码段就是一个跟踪的过程。一般跟踪的起点可以是windows消息、socket中的send与recv等函数。有时程序有可能将发送与接收过程由一个专门的线程进行处理，那么这种情况下我们需要找出该处理线程。至于具体如何进行跟踪本文不再进行详述，具体内容可以到相关网站上查看，比如看雪学院、笨冬瓜等网站。这里主要讲一下加密与解密算法代码的特征。
1.5 加密与解密算法代码特征 虽然在未进行分析之前我们很难判断一段代码是否是加密或解密算法，但我们还是可以根据一些特征进行较大概率的猜测。一情况下加密与解密都要进行一系列的异或、移位、加减、乘除和重复运算过程，因些一段代码中若具有上述特征，我们可以进行较为肯定的断定。
1.6 代码反推导 代码反推导是进行破解算法的主要方法，代码反推导的水平主要与一个人自身的编程修为相关，但在这里仍有一些基本的方法。代码反推导可以有一定的程式，首先可以将汇编码写成三元表达码，其次将代码中的转移指令转换为条件语句或循环语句，再次将代码中的变量进行迭代，最后进行变量形式转换与语句形式转换。通过以上的步骤，一般我们可以将汇编语言转换为高级语言，而当我们推导出高级语言后，就能进行较为实义的分析。
①.选择一款目标游戏
制作网游外挂的第一步就是选定一款游戏。目标游戏不是乱选的，里面也有很多讲究。
第一点，选择自己熟悉的游戏类型。如果你之前已经做过网游外挂，那选择一款类似的游戏会给你节省很大的时间，如果是第一次制作的话，那也选一款自己熟悉的游戏类型。
第二点，尽量不要选择热门的游戏，因为热门的游戏往往意味着竞争对手的增多，而且反外挂系统也比较厉害。像梦幻诛仙驱动+反外挂...头疼.
第三点，不要小看玩家人数少的游戏，游戏规模小，一般技术也比较容易突破。如果想销售的话。一款游戏，只要你能形成吃独食的场面，再加上营销搞得好的话，其中的利润将超过你的想象。但要注意，最好不要碰上因为游戏规模过小导致游戏厂商把游戏关闭的衰事。
第四点，尽量选择尚在测试期内的游戏，这使得你有充足的时间制作外挂。
②.目标游戏初分析
1.确定制作网游外挂的类型.
目标网游选定好之后，你首先要做的第一件事就是确定你要制作的网游外挂类型。
网游外挂虽然统称为外挂，但细分的话可以分为以下二类：内挂和脱机外挂。
内挂就是在游戏内呼出的网游外挂，它依赖于网游客户端，所使用到的技术主要包括鼠标和键盘的模拟，内存特殊变量区域的搜索，或者是挂钩游戏的收包函数和模拟游戏的发包函数。
脱机外挂就是指不依赖于客户端，能独立模拟客户端和游戏服务器进行通讯的网游外挂。脱机外挂的实现方式只有一种，就是模拟网游客户端的收包和发包过程。
总体而言，内挂的整体制作难度比脱机外挂要简单一些，但脱机外挂制作要比内挂更有趣，而且用起来也更方便，不必启动庞大的客户端程序。
某些时候脱机比较容易上手，分游戏也不是都是这样。所以以下都是脱机教学为例：
二、游戏指令与数据结构的筛查
游戏指令和指令中所携带的数据结构的筛查是外挂制作的第二步，这一步并不是很难，但十分烦锁。游戏指令和其数据结构的筛查并无技巧可言，主要是通过多次重复比较数据而最终确定结果。
在筛查游戏指令和其数据结构之前我们需要对封包截获技术有所了解，同时能对当前流行的几款封包截获工具如FPE、WPE等有所熟练使用。然而由于某些游戏运行商会针对一些问题而制定相应对策，因此有些时候需要我们自己编写封包截获工具。自己编写封包截获工具的好处还在于可以具体针对某一款游戏而编制特定的工具，这之中最重要的是可以事先将加密数据解密成明码，为分析封包提供方便。
2.1 封包截获技术 根据具体的截获原理不同，封包截获技术可分为：一是Hook技术、一是socket重写技术。无论使用何种截获技术我们最终要跟踪的都是socket中的发送函数与接收函数，如send、recv等。
2.1.1 Hook原理 Hook原理是通过向应用程序中注入dll文件，并改写应用程序函数导入表中的DLL调用函数，Hook技术要求我们对可执行程序的文件即PE文件结构有所了解。
2.1.2 socket重写原理 socket重写原理是通过重写整个socket文件，用新写的socket文件代替原socket文件，并由新socket文件调用原socket文件中的函数，从而截获函数的调用过程。socket重写技术要求改写后的socket文件具有跟原socket文件相同的接口，否则程序调用将发生错误。
2.2 封包的分析 封包分析时最重要的就是尽量减少分析时的干扰，干扰越少越有利于我们能针对性地得到结果。因此封包分析时一般是将游戏角色尽量带到一个玩家或怪物比较少的地方，同时在分析出一个后尽量过滤一个。
2.3 分析结果的处理 封包分析完毕后，我们可以为每一个指令定义一个含义比较明确的代码，并为每条指令所携带的结构信息定义相应的数据结构，为指令中的状态码也定义相应的代码。为所有指令与数据结构进行相应的定义，可以使我们在后续的外挂代码书写过程中隐藏掉实现的细节。
1.网络截包工具（Microsoft Network Monitor）的使用简介
目标网游的初步分析最主要的工作是分析游戏初始阶段网游客户端和服务器之间的数据通讯。这一阶段主要是指从输入用户名和密码开始登录游戏到玩家人物出现在游戏场景中这个阶段。这是开始阶段最关键的一个步骤，如果你能够成功破解网游数据通讯部分的加密，并用Debug程序成功模拟整个登录过程，那你几乎就已经成功了一半了。如果无法破解加密的话，那就需要赶快重新选定一款游戏了。或者请高手或者朋友帮你分析=。=
关于初步分析，首先要确定网游客户端和服务器之间的大致通讯过程，最起码你要知道客户端连接的是哪一个服务器，连接的端口是多少，在登录的过程中发送和接受了几个包？而要了解这些东西，你就要使用到网络截包工具了。
初学者可以使用.Microsoft Network Monitor V3.1，方便简单。大家可以到下面的网址去下载该软件。
http://support.microsoft.com/kb/933741/zh-cn
下面，我简单介绍一下该软件的使用方法。
安装好程序之后，运行程序，点击【Start Page】页的【Create a new capture tab】按钮，创建一个新的数据捕获会话，点击工具栏上绿色的开始按钮，就可以开始捕获网络数据了。整个程序的界面如下图所示：
各个窗口的作用如下：
Network Conversations下面有二项：
My Traffic代表本机作为发送方或者接收方参与的网络数据包。选中该项后，Frame Summary中将仅仅列出与本机相关的网络数据包。
Other Traffic 则是网络上其他机器之间的网络数据包。因为正好在拦截期内经过本机，所以被顺道拦截了下来。
Capture Filter 是设定拦截数据时的过滤器。
Display Filter 是对拦截结果的过滤设定。
Select Networks 是设定需要拦截本机上的那一个网络。
Aliases用于设定友好名。
Frame Summary 中列出的是符合条件的所有网络数据包
Frame Details则是当前选中的网络数据包的详细结构
Hex Details 则是当前选中网络数据包的二进制格式
2.分析初始阶段C/S网络数据通讯
简单介绍了网络截包工具的使用之后，下面我们就开始初步分析了。
在这篇文章里，我以某款网络游戏作为假定目标。（具体是哪一款，大家就不要深究了。）
首先在【aliases】窗口中将本地客户端和游戏服务器分别命名为：MyComputer和GameServer。注意不要忘了点击【apply】按钮。
然后在【Display Filter】中输入如下语句，仅显示游戏客户端和服务器之间的数据包。数据包类型为TCP是因为网游通讯的协议是TCP协议。
下图中的数据包列表就是目标网游从输入用户名和密码登录游戏到人物出现在游戏中（然后立即退出。）这一阶段客户端和服务器之间的所有往来的数据包。
图中红线标识的三个包代表了一个连接的过程。注意它的TCP Flags的变化。
MyComputer è GameServer .S...... 客户端请求建立连接
MyComputer ç GameServer .S..A... 服务器同意建立连接
MyComputer è GameServer ....A... 连接建立
以上三个包称为建立TCP连接的三段式握手。当你调用Socket类的Connect方法时就会产生上面的三个TCP包。
图中蓝线标识的是连接断开的过程。
MyComputer è GameServer F...A... 客户端请求断开连接
MyComputer ç GameServer ....A... 服务器同意断开请求
MyComputer ç GameServer F...A... 服务器请求断开连接
MyComputer è GameServer ....A... 客户端同意断开请求
调用Socket类的Disconnect方法时就会产生上面的四个TCP包。
从上图中我们不难看出在验证用户名和密码的过程中，客户端和服务器之间总共连接了二次，所以在之后的外挂程序编写过程中，我们同样也要连接二次。
TCP Flag为...PA...表示该TCP包内带有数据，而....A...则是回应包，用于回应上一个包的发送方：我已经收到你上一个包了，它本身不带数据。所以一般一个...PA...包都有一个对应的....A...包（例如编号为266和269），但如果回应的时候，发现正好有数据要发送，则可以将回应包掺杂在发送包中发送过去（例如编号为273的回应包就掺杂在275这个包内）。
下面观察客户端和服务器之间的实际数据往来。
1. 客户端连接到服务器
2. MyComputer ç GameServer 服务器给客户端发送7字节的数据
3. MyComputer è GameServer 客户端给服务器发送90字节的数据
4. MyComputer ç GameServer 服务器给客户端发送65字节的数据
5. MyComputer ç GameServer 服务器给客户端发送48字节的数据
6. MyComputer è GameServer 客户端给服务器发送48字节的数据
7. MyComputer ç GameServer 服务器给客户端发送208字节的数据
8. 服务器断开连接
9. ……
以上就是第一次连接的大致过程。观察每个包内的具体传输数据是没有意义的，因为网游之间的通讯肯定是加密的，你每次拦截下来的数据都会不一样。通常游戏服务器给客户端发送的第一个包都是KEY包（例如上面的7字节的包），客户端在接收到KEY包之后执行相应的数据加密初始化。所以接下来的任务就是根据已掌握的数据通讯规律，对游戏客户端的加密算法进行破解了。
3.游戏加密算法破解
网络游戏所使用的网络通讯函数肯定也是微软操作系统所提供的标准API函数，所以通常在接受网络数据的API函数中下一个断点，当接收到第一个7字节包时，断点激活，然后逐渐跟进去，查看游戏客户端是如何处理该段数据的，然后我们在外挂中依样画葫芦，进行同样的处理。整个破解过程相当的枯燥无聊，因为面对的都是汇编代码。大致的说一下。
4.Debug版本制作
破解完成之后，就要制作一个能够登录游戏的Debug版本了，用于确认游戏加密算法的破解是否成功。
至于选择何种编程语言和工具制作外挂则没有限定，常用的如VC，Delphi，等都可以易语言和VB不太推荐局限性太多~但并不是说语言不好，具体的编程在此就不具体说明了，可以根据个人的喜好所选择，
下面谈谈网游中数据通讯的基本单位：指令包。
所谓指令包就是代表了一个最基本含义的数据包。比如游戏人物向左移动时，游戏客户端就会向服务器发送一个指令包（人物走路包），通知服务器更新游戏人物的坐标。当游戏人物周围出现一个新的怪物时，服务器会向客户端发送一个指令包（怪物出现包），通知客户端在画面上绘制出该怪物。所以，可以说指令包就是客户端和服务器之间所使用的通讯语言，而外挂的工作就是解析该种语言，然后模拟客户端和服务器端进行通讯。
各个游戏定义的指令包的格式都不一样，但一般一个指令包通常含有以下几个元素：
XX XX XX XX XX XX XX ...
XX XX 红色部分通常与该指令包的长度相关。他可能是指整个指令包的长度，也可能是指他余下部分指令的长度，这需要根据游戏的具体情况来确定。
之所以专门要用一定空间来说明指令包的长度，这是由SOCKET通讯的机制所决定的。
SOCKET连接建立好之后，通过SOCKET连接读取到的数据并不是以指令包为分割的。有可能一个TCP包中正好包含一条指令包，也有可能仅仅包含指令包的一部分（如下图所示）。所以这时候就要根据指令包长度将收到的网络数据截取成单个的指令包。
有一点需要指出的是：刚开始的几个数据包不一定遵循一定的规律，这时候就需要进行特殊处理（因为在开头，所以也比较好处理），而之后的数据包肯定是遵循指令包格式的，不然就乱套了。
XX XX 蓝色部分通常称为指令包标识，用于说明该指令包是属于哪一种类型。比如怪物攻击包，玩家的移动包……,游戏客户端根据收到的相应指令包采取不同的动作。事实上，在客户端程序的内部就是一个很大的Switch语句，用来处理不同的指令包,如下所示：
Switch(指令包类型)
{
Case 移动包： 绘制相关人物的移动； break；
Case 攻击包： 绘制A攻击B的画面； break；
…
}
XX XX XX 部分是指令包详细的信息，该部分随着不同的指令包而有不同的格式。比如，如果是玩家移动包的话，他就会在此部分详细说明是哪个ID在移动，移动点是从哪儿到哪儿。
Debug成功制作完成的话，那我们就已经成功了一小半了。接下去的工作主要分为动态和静态二个方面。动态方面是根据已掌握的指令包格式，逐个分析游戏中的各个基本指令。静态方面则是从游戏客户端中解析出相应的资源。
