《夢幻誅仙手遊》是由祖龍（天津）科技有限公司研發的一款3D角色、2D場景的回合制手遊，該作由騰訊遊戲營運，自2016年12月正式公測以來，憑借着良好的遊戲性和穩定性，成功延續了網遊IP的火爆人氣，在今年年初斬獲風雲榜十大最受歡迎手遊獎，也成為了國内端遊移植手遊的成功範例之一。
據悉，在《夢幻誅仙手遊》正式上線前，就與騰訊WeTest手遊安全測試團隊合作，對自身遊戲的安全性進行了系統檢測，在技術上保證了手遊上線後的良好遊戲體驗，最大程度完成了原有IP粉絲的轉化積累。騰訊WeTest從2011年初就開始對手遊安全測試進行探索和技術積累，該測試已經逐漸成為騰訊在研和營運手遊項目上線前的必經環節。目前，騰訊WeTest手遊安全測試服務已經通過騰訊雲全面開放，服務廣大的遊戲項目。
騰訊雲上的WeTest到底是怎樣保障遊戲的安全品質？我們向騰訊WeTest團隊成員進行了詳細訪談，希望從火熱遊戲《夢幻誅仙手遊》的案例中，挖掘出更多内容。
一問：WeTest測試服務是如何針對手遊進行測試的？
答：WeTest手遊安全測試團隊基于對騰訊遊戲多年的測試經驗，歸納出手遊安全漏洞主要出現在用戶端、遊戲邏輯和伺服器三個層面，是以WeTest測試服務會從三個層面出發，根據不同手遊玩法制定對應的政策以達到整體與側重兼顧的檢測效果。
其中，用戶端層面的檢查項主要有遊戲資料加密、遊戲協定保護、變速判定、敏感日志四類監測内容；遊戲邏輯安全層面的檢查則包含了系統架構、盜刷漏洞和外挂漏洞三類直接關乎遊戲平衡和盈利根本的内容；伺服器安全層面則對伺服器當機漏洞進行專項檢測，為遊戲樹立阻擋惡意攻擊的高牆。
二問：WeTest手遊安全測試團隊對《夢幻誅仙手遊》進行了哪些重點測試？
答：考慮到不同手遊玩法檢測需要使用不同的技術實作，是以在《夢幻誅仙手遊》安全測試之初，團隊對遊戲進行了詳細的分析與拆解，并制定了有針對性的測試政策。
由于《夢幻誅仙手遊》核心玩法包括回合制的PVP與多人PVE，戰鬥實時性要求很弱，用戶端的每次操作均有協定上報，屬于伺服器強校驗遊戲。是以，手遊測試團隊确定了協定安全的測試方法為主，函數修改與記憶體修改測試方法為輔的政策。
以《夢幻誅仙手遊》某個版本為例，手遊測試團隊根據疊代新增内容，聚焦了以下測試重點：
1、經濟系統：商會、商城、擺攤、交易行、背包出售。
2、戰鬥力相關：角色屬性，技能、裝備、法寶、羽翼、寵物、仙侶等。
3、進行0、負值，資料溢出攻擊，并發等漏洞挖掘方式。
三問：在《夢幻誅仙手遊》的安全測試中，WeTest手遊團隊遇到的最大難題是什麼？
答：在團隊服務《夢幻誅仙手遊》的過程裡，如何在短時間内全面地完成全量内容的安全漏洞挖掘是當時面臨的最大挑戰。
由于《夢幻誅仙手遊》屬于重度MMORPG遊戲，遊戲功能系統包含戰力成長相關系統、交易系統、寵物系統、門派、上古戰場、世界BOSS、跨服戰、家園系統，各種類型副本以及營運活動等超過50個功能系統，短時間完成全量檢測難度極大。
而WeTest手遊安全測試團隊采取的是全量自動化分析檢測結合風險性優先級評估深度分析的方式解決這一難題：一方面利用智能自動化檢測鎖定系統、盜刷、拒絕服務攻擊等漏洞，另一方面則對高風險高優先級的功能系統如戰鬥系統、成長系統、交易系統等采取專項分析和漏洞挖掘，同時完成了對遊戲核心功能深層檢測和整體系統的全方位檢測。
四問：測試團隊最終發現了《夢幻誅仙手遊》哪些嚴重BUG？
在根據測試前分析确定測試重點後，我們利用安全測試工具對《夢幻誅仙手遊》的風險項目進行了逐一驗證，發現了兩類緻命級漏洞，而這兩類漏洞均在測試階段發現，并在版本釋出前已全部修複，在此僅作為案例分享。
緻命安全風險一：角色屬性系統
檢測結果顯示，《夢幻誅仙手遊》角色屬性加點對各個正常邏輯字段均有校驗，唯獨對加點數值未做負值判斷和溢出處理，導緻可以通過發送負值獲得超大正值結果，進而擷取更多點數配置設定到主要屬性，嚴重破壞遊戲玩法。
降低其他成長屬性進而增強主要成長屬性
物攻職業削減法術屬性以增強其他戰鬥屬性
緻命安全風險二：寵物系統
前期測試中，《夢幻誅仙手遊》的寵物系統也出現了與一同樣的問題——對加點數值未做負值判斷和溢出處理，導緻修改次要屬性為負值可以擷取更多點數配置設定到主要屬性。
寵物加點協定發送一鍵異常值後導緻寵物戰力猛增，寵物直接戰鬥無敵。通過錄制寵物加點協定，然後修改value字段的值為 2147483647，導緻寵物戰力值異常增大，嚴重影響遊戲平衡。
通過修改數值導緻寵物戰鬥力異常增大
五問：WeTest手遊安全測試如何處理這些漏洞？
答：對于盜刷類漏洞，我們建議遊戲開發團隊在研發初期要規範遊戲通信協定定義，對協定結構中字段數和字段類型進行安全性檢查。在面對伺服器，理購買、結算等物品發放請求時，需要加強對請求中各項資訊合法性校驗，另外營運側可以接入營運經分系統，對各種道具和金錢的産出進行實時監控與告警。
而對于當機類漏洞修複起來比較簡單，在因程式健壯性導緻的伺服器當機漏洞被檢測出之後，針對性做好異常值處理就能夠修複。
六問：《夢幻誅仙手遊》進行安全測試的最終結果是怎樣的？
答：
在《夢幻誅仙手遊》項目測試階段，手遊安全測試團隊累計挖掘出了20個緻命級漏洞，19個高危級漏洞，28個中危級漏洞，将遊戲中潛在的盜号、物品盜刷、僞造身份、伺服器當機等各類緻命級、高危級漏洞提前揭露出來，提前制定修複方案進行修複，并評估和驗收結果與風險，為《夢幻誅仙手遊》上線半年來穩定運作提供了堅實的技術保障。
關于騰訊雲手遊安全測試
騰訊雲手遊安全測試（Security Radar），是由騰訊遊戲WeTest團隊開放的獨家手遊安全漏洞挖掘技術，能夠有效杜絕遊戲外挂損失。産品為企業提供私密安全測試服務，通過主動挖掘遊戲業務安全漏洞（諸如鑽石盜刷、伺服器當機、無敵秒殺等40多種漏洞），提前暴露遊戲潛在安全風險，提供解決方案及時修複，最大程度降低事後外挂危害與外挂打擊成本。
騰訊雲上的WeTest測試服務目前包括手遊安全測試、手遊相容性測試、專家相容性測試和遠端調試服務。其中，手遊安全測試服務已為部落沖突、保衛蘿蔔3、皇室戰争、王者榮耀、夢幻誅仙等著名手遊IP提供了可靠保障。