XX县公安局网安大队接到北京智明星通科技股份有限公司报案称，有人利用技术手段自写程序实现自动注册大量玩家账号，通过“外挂”操作大量账号实现自动获取游戏资源，然后进行交易，给游戏公司造成重大经济损失。通过对嫌疑人使用的电脑进行电子物证检查，提取到嫌疑人在实施犯罪过程中使用的程序源代码。

由委托方提供的北京智明星通科技股份有限公司“关于《列王的纷争》网络游戏域名的情况说明”如下图所示：

（一）技术规范

1.GBT 29360-2012 电子物证数据恢复检验规程；

2.GBT 29362-2012 电子物证数据搜索检验规程。

（二）鉴定工具

设备：鉴定工作站（ED-SP9600）

软件：WinHex V18.3（以下简称WinHex）、易语言 V5.6。

（三）鉴定步骤

1.检材编号

对检材进行唯一性编号：

2.准备鉴定环境

使用360 Total Security Essential 杀毒软件对工作站进行全盘扫描，未发现病毒。

杀毒软件版本：8.8.0.1033

病毒库日期：2017年5月2日

同时对检验工作站及周边环境进行了防磁、防水、防静电和防震保护。

3.固定数据

将光盘连接至鉴定工作站，打开光盘，内有3个后缀为“*.e”的文件,大小共计8.02MB，截屏如下：

光盘内文件的具体信息

将这三个文件拷贝至鉴定专用硬盘，并对拷贝到硬盘内的三个文件分别进行MD5(128bit)校验，结果如下：

经过比对，三个文件的MD5(128bit)校验值均与委托方提供的校验值完全一致，在司法鉴定操作过程中将拷贝到鉴定专用盘中的文件视作检材源文件。

操作完成后取出光盘，放回封装袋封存。

4.检材文件分析

（1）文件“列王IE脱机0407A.e”为主要的挂机功能代码程序文件，用易语言软件打开的其主界面截图如下：

（2）文件“列王监控0224A.e”是“列王IE脱机0407A.e”文件的辅助文件，主要实现交易、加密解密以及数据库调用等功能。用易语言软件打开的其主界面截图如下：

3.文件“列王主控_挂机1127A.e”也是文件“列王IE脱机0407A.e”的辅助文件，主要实现对《列王的纷争》游戏账号管理的功能。用易语言软件打开的其主界面截图如下：

对检材主程序文件“列王IE脱机0407A.e”进行分析，发现该软件通过域名“lx.cok.elexapp.com”、“lx2.cok.elexapp.com”、“tenp1.cok.elex.com”及“hkp1.cok.elexapp.com”解析IP地址，与主游戏《列王的纷争》进行连接后，使用主游戏服务器的9933端口、80端口和8088端口交换数据(见下图)。域名“lx.cok.elexapp.com”与检材中北京智明星通科技股份有限公司提供的“关于《列王的纷争》网络游戏域名的情况说明”中的域名完全一致。该程序与主游戏服务器连接并模拟游戏场景成功后，主要实现五个大功能点：自动角色建号；自动角色升级；自动主锤建造；自动副锤建造；自动交易。

“列王IE脱机0407A.e”IP地址和端口代码截图 

1.模拟游戏场景

“列王IE脱机0407A.e”程序与主游戏《列王的纷争》服务器连接成功后，通过成功模拟游戏场景来欺骗主服务器，在不需要启动《列王的纷争》客户端程序的情况下达到脱机运行的目的。脱机程序内的所有数据还是从《列王的纷争》游戏服务器中读取的正常个人玩家的资料。实现脱机运行后，检材程序在与《列王的纷争》服务器数据交换过程中，通过ip地址代理的方式“安全”地进行数据交换，以达到不被《列王的纷争》服务器检测到是非正常启动的游戏客户端的目的。部分程序代码截图如下：

模拟游戏场景的部分代码截图

安全收取数据包的代码截图 

2.自动角色建号

“列王IE脱机0407A.e”程序模拟主游戏场景的建号过程，自动获取手机IMEI码和MAC地址，自动指定国家选择、自动建立账号到选择的国家、自动读取联盟ID列表等信息。部分代码截图如下：

自动建号的部分程序代码截图

3.自动角色升级

“列王IE脱机0407A.e”程序模拟主游戏场景内角色升级的过程。自动完成新手向导和英雄技能向导；自动完成新手向导和英雄技能向导；自动领取签到奖励；完成新手建造；自动加盟领取盟奖励;自动收割农田、木材等；自动联盟推广；自动激活VIP；自动领取码头奖励；自动背包删除；自动城防加固城墙；自动学习丰收技能；自动使用丰收技能；自动造兵，出征，治疗伤兵得到游戏资源；自动学习木头生产，粮食生产技能。部分代码截图如下：

自动完成新手向导功能的部分代码截图

自动完成英雄技能向导功能的部分代码截图

自动领取签到奖励功能的部分代码截图

自动完成新手建造功能的部分代码截图

自动加盟领取盟奖励功能的部分代码截图

自动收割农田、木材等功能的部分代码截图

自动联盟推广功能的部分代码截图

自动激活VIP功能的部分代码截图

自动领取码头奖励功的能部分代码截图

自动背包删除功能的部分代码截图

自动城防加固城墙功能的部分代码截图

自动学习丰收技能功能的部分代码截图

自动使用丰收技能功能的部分代码截图

自动造兵功能的部分代码截图

自动出征功能的部分代码截图

自动治疗伤兵功能的部分代码截图

自动学习粮食生产技能功能的部分代码截图

自动学习木头生产技能功能的部分代码截图

4.自动主锤建造

“列王IE脱机0407A.e”程序模拟游戏场景内的主锤建造过程，包括建筑位置“UUID”、建筑类型ID、军队类型ID。当城堡等级达到12级时，自动升级其他非必要建筑至12级;自动领取主线任务奖励；自动领取支线任务奖励。部分代码截图如下：

有关建筑位置“UUID”的代码截图

建筑类型ID的代码截图

军队类型ID的功能代码截图

城堡等级达到12级时，自动升级其他非必要建筑至12级功能的部分代码截图

自动领取主线任务奖励功能的部分代码截图

自动领取支线任务奖励功能的部分代码截图 

5.自动副锤建造

“列王IE脱机0407A.e”程序模拟主游戏场景内的副锤建造过程，在“城堡”达到8级以后，可以激活副锤且能自动补全未能完成的非必要建筑。部分代码截图如下：

“城堡”达到8级以后，自动补全未能完成的非必要建筑功能的部分代码截图

6.自动交易

“列王IE脱机0407A.e”程序模拟游戏场景内的交易过程，自动登录游戏；自动加入指定联盟ID，并找到盟主位置然后飞到自动交易后清包。

自动登录功能的部分代码截图

自动加入指定联盟ID功能的部分代码截图

自动交易功能的部分代码截图

自动找到盟主功能的部分代码截图

交易后自动清包功能的部分代码截图

经过对编号为“2017-0041”的检材使用WinHex V18.3、易语言V5.6等工具进行技术检验和取证。鉴定意见如下:

1.检材的主程序文件“列王IE脱机0407A.e”通过域名“lx.cok.elexapp.com”解析IP地址，登录《列王的纷争》网络游戏服务器并进行连接。该域名与北京智明星通科技股份有限公司出具的本公司《列王的纷争》网络游戏的域名完全一致。

2.三个检材程序“列王IE脱机0407A.e”、“列王监控0224A.e”、“列王主控_挂机1127A.e”构成一个自动挂机软件系统的主体文件。

“列王IE脱机0407A.e”为主要的挂机功能代码程序文件。

“列王监控0224A.e”作为辅助文件，实现对游戏内自动交易状态进行统计和交易订单的审核、管理功能，其作用还包括对账号的MAC和IMEI进行加密和解密操作、与MYSQL数据库连接并调用数据库内容、使用Access数据库来实现统计信息等。

“列王主控_挂机1127A.e”作为辅助文件，负责对《列王的纷争》游戏账号进行管理。

3.检材主程序文件“列王IE脱机0407A.e”的主要功能点与北京智明星通科技股份有限公司《列王的纷争》网络游戏的功能玩点相吻合。根据该公司“关于《列王的纷争》网络游戏的情况说明”和出具的“游戏玩法介绍”资料可以确认：检材程序“列王IE脱机0407A.e”是针对游戏《列王的纷争》主要功能开发的一款非官方挂机软件。该软件自动实现游戏功能的特性，对《列王的纷争》软件的货币体系和游戏整体系统的平衡性、公平性造成严重的影响。

检材程序“列王IE脱机0407A.e”主要实现以下功能：

4.“列王IE脱机0407A.e”程序通过模拟游戏内场景来欺骗主服务器，达到不被《列王的纷争》服务器检测到是非正常启动的游戏客户端的目的。在不需要实际启动游戏客户端程序的情况下脱机运行，通过IP地址代理的方式与《列王的纷争》游戏服务器进行后台游戏数据交换。

有关的鉴定结果数据存储在光盘路径下的压缩文件“2017-0041.zip”中。光盘唯一性编号为：2017-0041，数据压缩包的MD5校验值为：D497E3CB5DF7CC6B6D70E3583F62DF25。