揭秘网易我的世界扫描用户文件的行为及其特殊的反作弊机制

Stray3337

揭秘网易我的世界扫描用户文件的行为及其特殊的反作弊机制

---

全程不使用反汇编/调试分析


1.使用ProcMon工具记录游戏客户端访问行为

---

目标程序：D:\MCLDownload\ext\jre-v64-220420\jdk17\bin\java.exe（用于运行网易Minecraft的Java运行时）


网易我的世界(Minecraft)端游Java版会在游戏启动时扫描用户桌面的所有文件及后台进程的对应的可执行文件

ProcMon监控记录：

• 扫描C:/Users/用户名/Desktop
  

• 扫描微信等无关进程的文件
  

不论单人还是多人游戏，均会扫描桌面文件

游戏启动后会检测到PronMon程序而自动崩溃，因此无法分析后续行为，但这已经足够可以表明程序存在侵犯用户隐私的行为
并且，这对外挂几乎没有任何作用，外挂开发者可以提前将恶意代码写入系统进程(如 exeplorer.exe)并清除磁盘上的文件，从而规避所有检测
事实上，网易Minecraft的反作弊并不具有管理员/Ring 0权限，那么：
别人把外挂放到管理员权限的文件夹，以管理员身份运行，你不是扫了个寂寞吗？

---

而国际版Minecraft则不会出现此行为：

---

2.分析
网易Minecraft客户端本质是一个Java程序，与国际版客户端几乎完全相同，由启动器(文件名: PC4399_WPFLauncher.exe 如果是4399渠道服)生成一个形如：


"D:\MCLDownload\ext\jre-v64-220420\jdk17\bin\java.exe"  -Djava.library.path="D:\\MCLDownload\\Game\\.minecraft\\versions\\1.20\\natives" -Druntime_path="D:\\MCLDownload\\Game\\.minecraft\\versions\\1.20\\natives\\runtime"  -DlauncherControlPort=10090 -DlauncherGameId=xxx -DuserId=xxx

的命令行启动Minecraft，其中游戏启动器会配置native文件加载路径，此外网易修改了国际版Minecraft客户端的.minecraft\libraries\cpw\mods\modlauncher\10.2.1\modlauncher-10.2.1.jar和.minecraft\libraries\net\minecraftforge\modlauncher\10.2.1\modlauncher-10.2.1.jar两个核心文件，在其中加载了名为api-ms-win-crt-utility-l1-1-1.dll的动态链接库：

api-ms-win-crt-utility-l1-1-1.dll位于网易native目录，其数字签名为NetEase (Hangzhou) Network Co., Ltd，大小22Mb，内部被高度加密/混淆，难以分析

事实上，网易的绝大部分反作弊检测及身份认证均被放在api-ms-win-crt-utility-l1-1-1.dll中，大部分针对网易我的世界的外挂也均针对此文件进行逆向/破解

也就是，网易我的世界全部游戏逻辑均保留国际版的Java代码，但是反作弊及身份认证实现在native层，并通过Jni加载到Java主程序中替换Mojang原有的身份认证流程，其认证协议、加密身份应该均与国际版Minecraft所开源的不同
这也使网易Minecraft仅能在Windows x64上运行，而原生不能兼容Macos/Linux


根据比对，网易貌似仅修改了modlauncher-10.2.1.jar文件，用于加载dll文件，因此可以对其进行恢复

3.移除网易反作弊系统，确证其扫描用户文件的行为

---

声明：移除反作弊系统后，客户端将无法加入任何多人游戏

思路：如果移除反作弊的.dll文件之后，不再发生扫盘行为，就可以证明扫盘代码的位置
* 使用网易Minecraft 1.20.6 Java单人游戏测试


1.20.6.json部分内容，后面会用到：
   

• 恢复被修改的“网易特色文件”——modlauncher-10.2.1.jar：发现在MCLDownload\Game\.minecraft\versions\1.20.6文件夹中，存在国际版的版本描述文件1.20.6.json，是国际版的开放格式，打开找到modlauncher-10.2.1.jar配置，
• 如图:，找到后通过链接从maven.minecraftforge.net下载国际版未被修改的modlauncher-10.2.1.jar，并替换网易原有的modlauncher Jar包
• 移除D:\MCLDownload\Game\.minecraft\mods中的所有模组文件，其中包括网易的NeteaseOfficialMod(NeteaseOfficialMod用于调用api-ms-win-crt-utility-l1-1-1.dll进行认证并实现敏感词屏蔽/防沉迷/隐藏国际版主菜单和加载网页自定义菜单等)
• 从ProcMon中，Javaw.exe的进程properties里面拿到启动器已经生成好的启动命令
• 网易的游戏启动器现在就没用了，关掉它，并顺手把网易的api-ms-win-crt-utility-l1-1-1.dll和libenvsdk.dll防止其死灰复燃
• D:\MCLDownload\Game\.minecraft目录下创建一个.bat文件，把启动命令复制进去，双击运行
• 诶，就成功的运行了一个看起来像国际版的Minecraft，并脱离了网易盒子(启动器)，能正常玩单人游戏
• ProcMon显示该客户端不再有扫描文件的行为，证明扫盘的实现在api-ms-win-crt-utility-l1-1-1.dll中
  

修改结果如图，用powershell直接启动网易Minecraft (纯净无扫盘版？)：


4.结尾

---

我的世界(Minecraft)本身是开放的游戏，社区的Forge/Fabric模组加载器都是开放源代码的，但是网易利用native层的验证对整个网易的Minecraft服务进行控制，
同时还使用着Github上面LGPL 2.1开源的Forge客户端(一个强大的非官方Minecraft模组客户端)和开源模组，却让Minecraft变得封闭：玩家不再有修改客户端的能力
当然，从另一方面，网易的出现确实让Minecraft更容易从国内下载，外挂也确实少了很多


However，私自扫描用户桌面的行为仍然是不可容忍的……


附件：
网易native DLL库、魔改的.jar文件和网易官方模组：https://wwbxf.lanzoum.com/i2HzB3w7obbe

NO‘XIAO5

可以上工信部和网信办举报

lefttrammel

wsjssOY 发表于 2026-7-13 17:09
友友们有个问题，为什么国内厂商这么热衷于扫描用户，本身费力又没有任何作用的东西为什么非要写出来，有大 ...

程序员也很苦啊。你要写这个代码，程序员可以有绩效工资和奖金。你要不写这个代码，工资是底薪，搞不好还要面临失业。如果你是程序员，你怎么选？（一个滨江猪场小小程序员的痛苦。。））

2013年

好文，逻辑清晰，图文并茂，支持。

Nevvb1e251111

网易现在代理的也是越来越烂了。。。。

rayzju

啊？是怎么发现的 网易还能这样。。。谢谢大神分析

angeltxwh

不论单人还是多人游戏，均会扫描桌面文件？？有点过分哦

wsjssOY

友友们有个问题，为什么国内厂商这么热衷于扫描用户，本身费力又没有任何作用的东西为什么非要写出来，有大厂经历的友友们，能说下是高层要求还是什么

xGz1636

很好，认真学习中

NO‘XIAO5

wsjssOY 发表于 2026-7-13 17:09
友友们有个问题，为什么国内厂商这么热衷于扫描用户，本身费力又没有任何作用的东西为什么非要写出来，有大 ...

外厂也扫，各路反作弊和杀毒软件都干这事，直接写到条款里的，你的东西还会被上传到云端进行分析

sev1n

果然能学到真东西