无尽冬日 (Whiteout Survival CN) iOS 逆向安全分析报告

01 · 概述与目标#

0. 报告导读（TL;DR）#

1. 目标标识（Host Identification）#

2. 包结构总览#

脱壳后的 whiteoutsurvivalcn.app 共 6,218 个文件 / 约 901 MB（含分析过程中生成的中间文件）。

whiteoutsurvivalcn.app/
├── whiteoutsurvivalcn                    主二进制 (arm64, 138 KB, 仅做 Unity/SDK 引导)
├── Info.plist                            应用配置（权限/URL Scheme/ATS 等）
├── PrivacyInfo.xcprivacy                 隐私清单
├── ddCommon.json                         ★ 自研 SDK 配置（含可逆编码的密钥/密钥串）
├── UOPSDKConfig.json                     字节 UnionOpenPlatform 配置（app_id 789841）
├── Assets.car                            2.3 MB（App 图标等资源）
├── CenturyGameResources.bundle/          自研 SDK 资源（含 merge 脚本、mopub SKAdNetwork 清单）
├── CenturyGameiOSAccount/Payment/…        自研 SDK 各功能 bundle
├── CGSQRCode.bundle / CenturyGameSmartHelpRes.bundle
├── Frameworks/                           100 MB，15 个内嵌框架 + 12 个 Swift 运行库 dylib
│   ├── UnityFramework.framework/         ★ Unity 引擎 + IL2CPP + 游戏原生代码
│   ├── AdjustSdk / AdjustSigSdk          Adjust 归因
│   ├── ThinkingSDK / ThinkingDataCore    数数 ThinkingData 埋点
│   ├── BDASignalSDK                      字节信号 SDK
│   ├── CrashSight* (Core/Adapter/Plugin) 腾讯 CrashSight 崩溃捕获
│   ├── UnionOpenPlatform*                字节抖音开放平台（登录/分享/归因）
│   ├── AFNetworking / Protobuf           网络 / 序列化
│   ├── FirebaseNIMessInstallation        Firebase 安装归因
│   └── libswift*.dylib                    Swift 运行库
├── PlugIns/CGPushServerExtension.appex/  ★ 通知服务扩展（NSAllowsArbitraryLoads=true）
├── Data/
│   ├── Managed/Metadata/global-metadata.dat  ★ IL2CPP 元数据（XOR 加密）
│   ├── Raw/data/                         715 MB，5,316 个资源包子目录/文件（含 luapackage_32/64）
│   ├── Raw/sound/                        CriWare .acb 音频
│   ├── Raw/world/                        世界地图 .bytes 配置
│   └── (globalgamemanagers / level0-2 / resources.assets 等)
├── SC_Info/                               FairPlay 签名信息（whiteoutsurvivalcn.sinf 等）
├── install/                              ★ 残留构建脚本（buildIpa.sh / autoUpdateRepoPublic.sh）
└── _CodeSignature/CodeSignature

3. 分析方法与工具链#

4. 报告结构#

5. 免责声明#

本报告仅用于经授权的安全研究、兼容性评估与防御加固。所涉脱壳、元数据还原、串提取等均为离线静态分析，未对任何线上服务发起攻击、未绕过任何付费/授权，也未分发任何受版权保护的内容。请遵守当地法律法规与软件许可协议，勿将本文技术用于未授权用途。

02. 第三方 SDK 清单、权限与隐私画像#

分析方法：plutil / PlistBuddy 解析各 Info.plist、codesign -d --entitlements :- 提取授权、strings 提取符号、find / grep / python3 解析资源 JSON 与隐私清单。所有版本号、标识符均逐字引自文件，未作推测；无法验证处已明确标注。

1. 嵌入式框架（Framework）完整清单#

Frameworks/ 下共有 15 个 .framework，另有 13 个 Swift 运行库动态库（libswiftCore.dylib 等，属 Unity 打包产物，非第三方 SDK）。全部版本信息读取自各框架自身的 Info.plist（CFBundleShortVersionString / CFBundleIdentifier）。

1.1 次要/内嵌组件（由框架携带，非独立 framework 目录）

• UnionOpenPlatformCore.framework/ 内嵌：RangersAppLog.bundle（字节 AppLog 埋点）、APMInsightCore.bundle 与 RangersAPMPrivacyInfo.bundle（字节 APM 性能监控）、HMDEmbedPrivacyInfo.bundle（火山引擎 HMD 崩溃嵌入）。
• Unity 工程同时打包了 CenturyGameiOS* 系列 bundle：CenturyGameiOSAccount（账号）、CenturyGameiOSPayment（支付）、CenturyGameiOSReport（上报）、CenturyGameiOSTool、CenturyGameiOSWebViewBridge（WebView 桥）、CGSQRCode、CenturyGameSmartHelpRes、CenturyGameResources。均为自研/OEM 模块，其隐私清单见 §3。

2. Info.plist 权限与声明#

2.1 主 App（com.gof.china）

NS*UsageDescription（隐私用途说明）

LSApplicationQueriesSchemes（可探测的第三方 App Scheme）

fb, fb-messenger, whatsapp, weixin, weixinULAPI, weixinURLParamsAPI,
douyinopensdk, douyinliteopensdk, douyinsharesdk, snssdk1128, weibosdk

覆盖 Facebook、WhatsApp、微信（weixin / weixinULAPI / weixinURLParamsAPI）、抖音（douyinopensdk 等）、微博。说明 SDK 具备跨 App 拉活/分享能力（canOpenURL 探测）。

CFBundleURLTypes（自定义 URL Scheme 注册）

UIBackgroundModes

remote-notification

仅声明远程推送后台模式，未申请 location / audio / fetch 等。

其他关键键

• NSAdvertisingAttributionReportEndpoint = "https://adjust-skadnetwork.com\u200b" —— ⚠️ 末尾含不可见零宽空格（U+200B，0x200B），共 31 字符。这不是合法可解析的目标域名，存在被系统忽略或配置失效的风险，属打包/配置瑕疵，建议修正为纯 ASCII URL。
• UIRequiresFullScreen = true、UIRequiresPersistentWiFi = true、MinimumOSVersion = 12.0、UIDeviceFamily = [1,2]（iPhone/iPad）。
• Unity 推送相关：UnityNotificationDefaultAuthorizationOptions = 7、UnityAddRemoteNotificationCapability = false、UnityUseAPSReleaseEnvironment = false。
• dd_sdk_environment_production = true、dd_sdk_unity_version = "8.0.5.0-GOFCN-1"（数数 SDK 生产环境）。

Entitlements（codesign -d --entitlements :- whiteoutsurvivalcn）

application-identifier            = HM5Y58WVBP.com.gof.china
aps-environment                   = production
com.apple.developer.applesignin   = [Default]
com.apple.developer.associated-domains = [
    applinks:appleunilink.campfiregames.cn,
    applinks:xfmr.adj.st
]
com.apple.developer.game-center   = true
com.apple.developer.team-identifier = HM5Y58WVBP

2.2 推送扩展 PlugIns/CGPushServerExtension.appex

二进制 Info.plist（已 plutil -convert xml1 解析）：

Appex Entitlements：

application-identifier            = HM5Y58WVBP.com.gof.china.20173
com.apple.developer.team-identifier = HM5Y58WVBP

扩展本身只持有 application-identifier 与 team-id，未继承主 App 的 aps/关联域名等权益，权限相对收敛。

3. 隐私清单（PrivacyInfo.xcprivacy）汇总#

产物内共发现 22 个 PrivacyInfo.xcprivacy。以下按主 App、Appex、框架三类归纳。

3.1 主 App 隐私清单（PrivacyInfo.xcprivacy）

NSPrivacyAccessedAPITypes（Required Reason API） | 分类 | 理由码 | |------|--------| | NSPrivacyAccessedAPICategorySystemBootTime | 35F9.1 | | NSPrivacyAccessedAPICategoryDiskSpace | E174.1 | | NSPrivacyAccessedAPICategoryUserDefaults | CA92.1 | | NSPrivacyAccessedAPICategoryFileTimestamp | 0A2A.1, C617.1 |

NSPrivacyCollectedDataTypes | 数据类型 | Linked | Tracking | 用途 | |----------|--------|----------|------| | NSPrivacyCollectedDataTypeDeviceID | true | false | Analytics, Other | | NSPrivacyCollectedDataTypePhotosorVideos | true | false | AppFunctionality |

NSPrivacyTracking = false（主 App 清单自述不追踪，但与 Adjust / UOP 框架清单中 NSPrivacyTracking=true 存在聚合层面的矛盾，见 §7）。

3.2 Appex 隐私清单（CGPushServerExtension.appex/PrivacyInfo.xcprivacy）

• NSPrivacyAccessedAPITypes：仅 NSPrivacyAccessedAPICategoryUserDefaults（CA92.1）。
• NSPrivacyCollectedDataTypes：空。
• NSPrivacyTracking = false，NSPrivacyTrackingDomains = []。

3.3 各框架隐私清单要点

UnionOpenPlatformCore 显式列出的追踪域名（NSPrivacyTrackingDomains）：

klink-tracking.volceapplog.com
toblog-tracking.volceapplog.com
abtest-tracking.volceapplog.com
tobapplog-tracking.volceapplog.com
alink-tracking.volceapplog.com

AdjustSdk 显式列出的追踪域名：

https://consent.adjust.com   https://consent.adjust.io   https://consent.adjust.net.in
https://consent.adjust.world https://consent.adjust.cn   https://consent.eu.adjust.com
https://consent.tr.adjust.com https://consent.us.adjust.com

4. ⚠️ 关键发现：Appex 开启 ATS 任意加载，主 App 未开启#

• 主 App（com.gof.china）没有 NSAppTransportSecurity 键（PlistBuddy Print :NSAppTransportSecurity 返回 Does Not Exist），即主 App 遵循系统默认 ATS（强制 HTTPS/TLS）。
• 推送扩展 CGPushServerExtension.appex（com.gof.china.20173）在 Info.plist 中显式声明： xml <key>NSAppTransportSecurity</key> <dict> <key>NSAllowsArbitraryLoads</key> <true/> </dict> 即允许该扩展发起任意明文 HTTP 请求，绕过 ATS。

风险解读：这是"最小权限面"上的不一致——一个职责仅为"通知服务扩展"的组件，却拥有全 App 最宽松的网络策略。通知服务扩展运行在推送到达的后台时机，若其拉取图片/富媒体内容的 URL 可控或校验不足，则明文 HTTP 通道可被中间人（同 Wi-Fi 攻击者、恶意代理）篡改/注入。Apple 审核亦会要求 NSAllowsArbitraryLoads 提供合理说明。建议：仅对确需的白名单域名使用 NSExceptionDomains，或在扩展内强制 HTTPS，移除全局任意加载。

5. 能力（Capabilities / Entitlements）#

6. 广告 / 归因标识#

6.1 CenturyGameResources.bundle/mopub-sdk-id.json —— SKAdNetwork 标识列表

• 该文件为 JSON 数组，共 154 条唯一 SKAdNetworkIdentifier（无重复），字段格式 {"SKAdNetworkIdentifier":"<id>.skadnetwork"}。
• 前若干条示例： 22mmun2rn5.skadnetwork, 238da6jt44.skadnetwork, 24t9a8vw3c.skadnetwork, 252b5q8x7y.skadnetwork, 275upjj5gd.skadnetwork, ... 末尾：... x5l83yy675.skadnetwork, 7fmhfwg9en.skadnetwork, qu637u8glc.skadnetwork
• 经验证的常见广告网络条目存在：cstr6suwn9.skadnetwork、f38h382jlk.skadnetwork、v9wttpbfk9.skadnetwork、n38lu8286q.skadnetwork、mtkv5xtk9e.skadnetwork、5a6flpkh64.skadnetwork、22mmun2rn5.skadnetwork 均为 True。
• ⚠️ 重要不一致：主 App 的 Info.plist 不含 SKAdNetworkItems 键（PlistBuddy Print :SKAdNetworkItems → Does Not Exist）。SKAdNetwork 标识仅存在于资源 JSON 中。结合 CenturyGameResources.bundle/merge_infoplist.py 的逻辑（仅当 gad_appid 非空时才把 mopub_data 写入 pl['SKAdNetworkItems']），可推断本 CN 构建未把该列表合并进运行时 Info.plist——即 SKAdNetwork 归因在系统层面很可能未生效（或依赖其他注入途径）。这属于配置/构建缺陷，需人工在目标环境复核。
• NSAdvertisingAttributionReportEndpoint 指向 https://adjust-skadnetwork.com（但末尾带 U+200B，见 §2.1）。

6.2 ddCommon.json（根目录，明文 JSON，含大量密钥/标识）

6.3 UOPSDKConfig.json

{
  "app_id": "789841",
  "osdk_type": "Omnichannel_ActivityLink",
  "client_key": { "douyin_key": "" },
  "debug_mode": false
}

• app_id = 789841 为字节开放平台应用 ID；douyin_key 在 CN 构建中为空；debug_mode = false。

7. 隐私画像总结与风险评级#

7.1 数据采集面

本 App 的第三方 SDK 组合呈现"游戏引擎 + 双归因（Adjust / 字节 UOP）+ 双分析（ThinkingData / 字节 AppLog）+ 崩溃（腾讯 CrashSight）+ 推送（Firebase Installation + 腾讯 TPNS）"的典型重度商业化矩阵：

• 追踪类（Tracking=true）：AdjustSdk（DeviceID → 第三方广告）、UnionOpenPlatformCore（DeviceID / 诊断数据，追踪域名 *-tracking.volceapplog.com）。
• 分析类：ThinkingData（含粗略位置、ProductInteraction、UserID、DeviceID）、Unity 自研 Report（PerformanceData / OtherUsageData）。
• 崩溃/性能类：CrashSight（CrashData / PerformanceData / DeviceID / UserID）、UOP 内嵌 RangersAPM / HMDEmbed。
• 标识符：Adjust（含签名 ADJSigner）、字节 BDA Signal、Firebase Installation ID、微信 AppID、抖音 client_key、Bugly ID。

7.2 风险清单（按严重度）

7.3 建议

1. 统一网络策略：移除 Appex 的 NSAllowsArbitraryLoads，改用 NSExceptionDomains 白名单或强制 HTTPS。
2. 修正 NSAdvertisingAttributionReportEndpoint 的 U+200B，并确认 SKAdNetworkItems 是否正确注入到发布版 Info.plist。
3. 在 App Store Connect 按实际 SDK 行为申报"追踪"数据，修正主 App 与框架隐私清单的语义差异；补全 NSLocationWhenInUseUsageDescription 文案或移除该键。
4. 抽查 Adjust / UOP 归因回传报文的 HTTPS 与签名校验；对 ddCommon.json 中疑似密钥字段做安全审计。
5. 以 UnionOpenPlatformCore（体积最大、追踪域名最多）与 UnityFramework（攻击面最大）为优先逆向目标，核查其网络与 JSBridge 边界。

附：本报告所有标识符与版本号均来自产物文件的直接读取（plutil / PlistBuddy / codesign / strings / python3）。凡产物中无法确证的项（如 CrashSight 内部小版本、SKAdNetwork 标识对应的广告网络归属）均未臆断；相关结论以"可能/疑似"标注。

03 · Unity 资源与内容保护分析（Whiteout Survival CN / 无尽冬日）#

1. Data/ 目录布局总览#

whiteoutsurvivalcn.app/
├── whiteoutsurvivalcn              # 138,720 B  Mach-O arm64 启动器
├── Frameworks/UnityFramework.framework/UnityFramework  # IL2CPP 主体二进制
├── Data/
│   ├── boot.config                 # build-guid=2a9abc3bc9814e5498a345cecaa532da
│   ├── globalgamemanagers          # 341,444 B（明文标准序列化文件头）
│   ├── globalgamemanagers.assets   # 686,836 B
│   ├── resources.assets            # 2,340,004 B（明文）
│   ├── level0 / level1 / level2    # 场景（明文）+ *.resS 流数据
│   ├── sharedassets0/1/2.assets
│   ├── unity default resources     # 695,864 B
│   ├── ScriptingAssemblies.json    # 125 个程序集清单
│   ├── RuntimeInitializeOnLoads.json
│   ├── Managed/
│   │   ├── Metadata/global-metadata.dat   # 9,902,340 B（加密，见 §2）
│   │   ├── Resources/mscorlib.dll-resources.dat
│   │   └── mono/4.0/machine.config        # 仅 33,598 B（无托管 DLL）
│   ├── Resources/unity_builtin_extra      # 425,220 B
│   └── Raw/
│       ├── data/   # 5,316 个 .unity3d AssetBundle，合计 715 MB
│       ├── world/  # 4 个 .bytes 自定义二进制配置（非 UnityFS，见 §5）
│       ├── sound/  # 36 个 CriWare .acb/.awb/.acf（39 MB，见 §7）
│       └── game_res_mark           # 3,546 B（本身也是一个 UnityFS Bundle）

• Data/Managed/ 下没有任何托管 DLL，只有 Metadata/global-metadata.dat 与 mono/4.0/machine.config → 确认为 IL2CPP 全 AOT 编译；业务 C# 代码已编入 Frameworks/UnityFramework.framework/UnityFramework（Mach-O arm64）。
• Data/Raw/* 是随包分发的 StreamingAssets 预置资源（首发资源），其余通过 AssetDataInfo.GetUrl 从 CDN 增量下载。

Unity 版本证据

$ xxd -l 48 Data/globalgamemanagers
00000000: 0000 0000 0000 0000 0000 0016 0000 0000
00000010: 0000 0000 0000 045c 0000 0000 0005 35c4
00000020: 0000 0000 0000 0490 0000 0000 0000 0000
00000030: 3230 3232 2e33 2e35 3266 3100 0900 0000  2022.3.52f1.....
$ strings -a Data/globalgamemanagers | grep -E "^20[0-9][0-9]\.[0-9]"
2022.3.52f1

globalgamemanagers、resources.assets、level0、sharedassets*、unity_builtin_extra 全部为明文标准 Unity 序列化文件（文件头 <metadataSize><fileSize><version=0x16=22>... + 版本串 2022.3.52f1），可被 AssetStudio / UnityPy 直接读取、未加密。

ScriptingAssemblies.json（共 125 项）

前 63 项为 UnityEngine.* 模块；其余 62 项为游戏/第三方程序集，关键项：

RuntimeInitializeOnLoads.json

SRDebugger.AutoInitialize.OnLoadBeforeScene / OnLoad   (Assembly-CSharp)
com.Tivadar.Best.HTTP $BurstDirectCallInitializer
OdinSerializer ...
Unity.MemoryProfiler.MetadataInjector

即游戏内自带 SRDebugger 调试面板 与 HdgRemoteDebugRuntime 远程调试运行时，逆向时可用作入口线索。

2. global-metadata.dat 加密（IL2CPP 元数据保护）#

• 文件大小 9,902,340 B，Data/Managed/Metadata/ 下打包态即为密文；密文头为 E1 4F F4 A9（明文魔数应为 AF 1B B1 FA = IL2CPP Metadata v31）。
• 加密方案（由本项目 artifacts/decrypt_global_metadata.py 验证）：整文件 17 字节循环 XOR，密钥

KEY = b"NTESCSLLVMPASSKEY" # 17 字节（"NTESCSLLVMPASSKEY"） 解密后魔数 0xFAB11BAF 校验通过，version = 31，字符串表完全可读 → 已成功还原出 out_identifiers.txt(2.1 MB) / out_literals.txt(567 KB) / out_types.txt(278 KB)。 - 采用 17 字节周期使密文呈现约 73% 可打印字符，属于伪装式周期 XOR，并非强加密；但由于游戏另有 Enable_Encrypt_NHP（网易易盾 NetEase 安全通信） 与 IFix 热更，说明官方安全重心在运行期而非静态资源。

3. AssetBundle 容器格式：明文 UnityFS（关键发现）#

对 Data/Raw/data 中全部 5,316 个 .unity3d 扫描：

$ cd Data/Raw/data && grep -l "UnityFS" *.unity3d | wc -l
5316            # 5316/5316 全部以明文 "UnityFS" 开头

容器头是明文且完全合法，例如 config_login_logo_01381e8462c1673211ae1bda35252d09.unity3d：

00000000: 556e 6974 7946 5300 0000 0008 352e 782e  UnityFS.....5.x.
00000010: 7800 3230 3232 2e33 2e35 3266 3100 0000  x.2022.3.52f1...
00000020: 0000 0000 05f6 0000 0041 0000 005b 0000  .........A...[..
00000030: 0243 0000 0000 0000 0000 0000 0000 0000  .C..............
00000040: 1e00 0100 b201 0000 0ec8 0000 0566 0003  .............f..
00000050: 0e00 0801 0000 1a00 f018 0004 4341 422d  ............CAB-
00000060: 3566 6561 3936 3935 3663 3437 6534 3766  5fea96956c47e47f
00000070: 6235 3333 3561 3435 6530 3531 3437 3462  b5335a45e051474b
00000080: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000090: 1600 0100 1616 0b00 220d 0d08 0023 0ec8  ........"....#..

字段解析（大端）：signature="UnityFS"，fileVersion=8，unityVersion="5.x.x"，unityRevision="2022.3.52f1"，size=0x5f6=1526，blocksInfoCompressed=0x41=65，blocksInfoUncompressed=0x5b=91，flags=0x0243。

• flags & 0x3F = 3 → 块压缩算法 LZ4HC；
• flags & 0x200 → BlockInfoNeedPaddingAtStart（2022.1.1+ 语义），因此 header 之后按 16 字节对齐到 0x40 才是 blocksInfo；
• blocksInfo 可正常解压且为明文，完整读出目录信息（CAB 名、节点偏移/大小）。以自研解析器（artifacts/parse2.py）验证：

FILE config_login_logo_...unity3d (1526B)
  header: ver=8 engine=5.x.x player=2022.3.52f1 size=1526 ci=65 ui=91 flags=0x00000243
  blocksInfo decompressed OK: 91B (declared 91)
  uncompressedDataHash=00000000000000000000000000000000 blocks=1
    block[0] uncompressed=3784 compressed=1382 flags=0x0003
  nodes=1
    node[0] offset=0 size=3784 flags=0x00000004 path='CAB-5fea96956c47e47fb5335a45e051474b'

3.1 加密位置：仅首个压缩块被加密

关键证据：UnityPy 1.25.2 打开上述包时抛异常，但其 traceback 精确指向 block data 解压（BundleFile.py:174-175 → CompressionHelper.decompress_lz4），而非 blocksInfo 解压（BundleFile.py:141）：

File "UnityPy/files/BundleFile.py", line 49, in __init__
    m_DirectoryInfo, blocksReader = self.read_fs(reader)
File "UnityPy/files/BundleFile.py", line 174, in read_fs
    b"".join(
File "UnityPy/files/BundleFile.py", line 175, in <genexpr>
    self.decompress_data(
File "UnityPy/helpers/CompressionHelper.py", line 94, in decompress_lz4
    return lz4.block.decompress(data, uncompressed_size)
_block.LZ4BlockError: Decompression failed: corrupt input or insufficient space in destination buffer.

对 Data/Raw/data 随机 300 个包逐块尝试标准 LZ4HC 解压（artifacts/batch.py）：

total analyzed: 300
bundles where ALL blocks decompress : 0
bundles where NO block decompresses  : 145     # 单块包 → 整包无法解
bundles where block[0] fails         : 300     <a id="num"></a>

# 100% 命中
per block-index [ok,fail] (first 8):
   block[0]: ok=0   fail=300
   block[1]: ok=155 fail=0
   block[2]: ok=74  fail=0
   block[3]: ok=46  fail=1   (唯一 1 例抖动)
   block[4..7]: 全部 ok

结论明确：

1. 容器 + blocksInfo（含目录/CAB 名）是明文可读的；
2. 每个 Bundle 的第一个数据块（block[0]）被加密/加扰，第 2 块起为标准 LZ4HC 明文；
3. 单块包（145/300）因此整体不能被 UnityPy/AssetStudio 解析 —— 这正是"反提取"目的：block[0] 通常承载 Unity 序列化文件的文件头 + 类型树 + 对象表，破坏它即可让整包无法解析。

对 GPU 士兵包的直接证据（artifacts/parse2.py）：

block[0] uncompressed=131072 compressed=80594 flags=0x0003  -> DECRYPT/COMPRESS FAIL
block[1] uncompressed=14456  compressed=13563 flags=0x0003  -> LZ4 OK -> 14456B

3.2 加密方案推断（与 metadata 符号吻合）

解密后的 IL2CPP 元数据包含如下自研符号，与上述现象一一对应：

CenturyGame.GameFramework.Helper-CalcEncryptKeyFromString0
CenturyGame.GameFramework.Helper-EncryptXOR0 / EncryptXOR1 / EncryptXOR2
CenturyGame.GameFramework.Helper-CheckLuaBytecodeHeader0
CenturyGame.GameFramework.Helper-EncryptLuaBytecode0 / DecryptLuaBytecode0
CenturyGame.GameFramework.AssetDataInfo-get_BundleEncryptOffset0
CenturyGame.GameFramework.AssetDataInfo-CalcOffsetFromString0
CenturyGame.GameFramework.AssetDataInfo-CheckFlag0 / CheckFlags0 / HasMark0 / GetUrl0
类型: AssetDataInfo / AssetBundleMgr / AssetLoader / BundleAssetLoader / BundleLoader
      AssetBundleContentData / AssetBundleData / AssetBundleCache / AssetBundleDownloadHandler

推断的保护设计：

• AssetDataInfo.BundleEncryptOffset + CalcOffsetFromString(...)：由资源名/URL 字符串派生一个加密偏移，用于定位加密区间的起点/长度；
• Helper.CalcEncryptKeyFromString(...) + EncryptXOR/1/2：由字符串派生 XOR 密钥，对 Bundle 的首块做异或加扰（三种变体可能对应不同资源分组/版本）；
• 因此这是自研 XOR 块级加密，而非 Unity 官方的 Unity CN 加密（后者 flags 应为 0x400/0x1400 并带 16+16+16+16 字节的 AES-ECB 派生密钥头；本包 flags 仅 0x0243，不含该位，UnityPy 亦未走 ArchiveStorageDecryptor 分支）。

密钥破解尝试（未成功，作为证据）：

→ 表明密钥按资源串逐包派生（CalcEncryptKeyFromString），并非全局固定密钥，强度高于元数据的周期 XOR。

旁证（决定"是首块还是定长前缀"）：在 300 采样中，只要包有 ≥2 块，block[1] 永不解压失败，且多块包中 block[0] 的压缩块最小为 14,573 B（art_effect_ui_material_common_depend_...）。这说明被加密区间与块边界对齐（即恰好第一个数据块），而不是"固定前 N 字节"式的连续前缀。

4. 内容清单（Data/Raw/data，5,316 个 .unity3d，715 MB）#

4.1 目录分类（按文件名首两段统计）

4.2 代表性文件名（30 个）

actor_animation2d_spritemesh_c126e0fbcea5a30f011a656c1665e773.unity3d
actor_battle_battle_hero_eleonora_1155d29d82b0406c0625f9ba3d610f60.unity3d
actor_battle_battle_hero_judge_red_7447a4cf3744a4a21effe75c5dc0c7c6.unity3d
actor_battle_battle_hero_smith_a07b5a03fa060d11124feb28bc2c2c92.unity3d
actor_battle_battle_gpu_soldier_archer_blue_59ffd7348be8d3ebba087fdabed91a1e.unity3d
art_actor_hero_3d_hero_builder_anim_battle_depend_7fc535c5b4879c6c971473d337c9a61d.unity3d
art_actor_hero_3d_hero_exhibit_dominic_depend_b8d8eb14a94fb164f843b5ee478446b9.unity3d
art_actor_hero_3d_hero_exhibit_wu_ming_depend_605881138cd32d24ad58875a2817215e.unity3d
art_scene_city_build_building_pier_3d_city_anim_building_pier_01_anim_depend_0aead504dd44c057a955cc5b3ccd1959.unity3d
atlas_ui_common_94c4c36d820b45c2f28ae821bcf160ba.unity3d
atlas_ui_login_846c36fdcdbce8aa97db8d45552abdf8.unity3d
config_atlas_mapping_b583fdbab488a1bb0176a8313d68841f.unity3d
scene_battle_effect_beastmaster_fx_hero_beastmaster_attack_hit_ec6357f4237d0bd48167c3425dcd9a2f.unity3d
scene_battle_effect_captain_fx_hero_captain_skillxp_xuli_550c5fa82e69c4f07f0201128aaf7bec.unity3d
scene_battle_effect_gisela_fx_hero_gisela_xp_smoke_v_r_fml_4bb6fc594479503db3d34878adf0f637.unity3d
scene_battle_effect_hector_fx_hero_hector_skill_xp_lod_870ab33a2eafb0a7ae067405b8f6bf66.unity3d
scene_battle_effect_ligeia_fx_hero_ligeia_xpskill_boom_yly_b97d6eac9f0e551c89bee7049ce5e02d.unity3d
scene_battle_effect_molly_fx_hero_molly_skill01_hit_b85d1a4489364a3580e132b98cb65a1f.unity3d
scene_battle_effect_seo_yoon_fx_hero_yoon_xp_buff_lod_27b4cbad785323920cfc644edfaaae74.unity3d
scene_city_building_accessory_city_building_upgradeboard_05_d7fb61199c55186112e8103d4b9c8e1a.unity3d
scene_city_building_city_anim_building_fishing_ice_cave_01_4a7b46389f44c9f30fc310bc40722fda.unity3d
scene_city_building_city_building_furnace_02_50c336f062e3282411d3845d24898564.unity3d
spine_ui_puzzlesystem_cardenvelope01_anim_49db00cbd100bd2e4cfc6fc2840364ee.unity3d
ui_panel_capitalwar_capitalwarpersonalinfopanel_c6adc61f8bb7cdfc298d3dd282d45fc1.unity3d
ui_panel_hero_effect_fxui_recruit_chouka_front_purple_jxm_f693b4b130eee6de56a866cc8135481d.unity3d
ui_panel_worldscene_worldmapnestnamepanel_6ff410282a7ccf7c6fb6184928575982.unity3d
ui_panel_soldier_fxui_soldie_pikeman12_jianying_wwj_54b9b4cdb86460ea26088cd66ba22456.unity3d
ui_panel_dress_dresspreviewpanel_d2bb496996770a4afd952c4e6e5400d0.unity3d
luapackage_32_974121449b64808d202866a5fe28f953.unity3d

4.3 Lua / 业务逻辑 Bundle（重要）

包名中含 lua / tolua 的共 9 个（真正承载逻辑的 5 个）：

luapackage_32_974121449b64808d202866a5fe28f953.unity3d   (20,161,980 B)
luapackage_64_743799ffbb0b96aabfb80d262995bb74.unity3d   (20,194,704 B)
toluaout_32_760a415d51765d7d69bbfa7db9e1af14.unity3d
toluaout_64_c52eccf42487f8303f69a2d41c5aba16.unity3d
unity_mono_scripts_8b2eb1dcfa8c5ba7bd0c39f4d6257e85.unity3d

• 采用 ToLua（luapackage + toluaout + metadata 中大量 *Wrap 绑定，如 UnityEngine_AssetBundleWrap、CriWare_CriAtomListenerWrap）→ 大部分界面/玩法业务逻辑用 Lua 编写，以 TextAsset 形式打进 AssetBundle。
• luapackage_32 结构（artifacts/parse2.py）：blocks=406，每块 uncompressed=131072（128 KB），path='CAB-c6d925562e3180c1714285c203e48d85'。
• 由于仅 block[0] 被加密，我们跳过首块、解出其余 405 块（53,046,432 B），可见大量 Lua 视图/逻辑字符串：

$ strings -a luapackage_32_*.partial.bin | grep -icE "function|local |return|require|tolua"
5310
$ strings -a luapackage_32_*.partial.bin | head
-DumpSaveData: value is function, path=%s
game_module_ui_view_findinggame_FindingGameReturnEnergyTipView
TipViewBaseNew GUIBase#FindingGameReturnEnergyTipView
...

→ 证实 游戏业务逻辑确实在加密 Lua Bundle 内。此外 Helper.CheckLuaBytecodeHeader / EncryptLuaBytecode / DecryptLuaBytecode 表明 Lua 字节码/源码额外做了一层加密（luapackage 首块被 XOR 保护，字节码本身可能再被 EncryptLuaBytecode 处理）。

5. Data/Raw/world/*.bytes（自定义二进制，非 AssetBundle）#

4 个文件均不是 UnityFS：

map_world_config_item_72ad90ca83f877f34cc2e16af679c906.bytes     32,942 B
map_world_config_mask_6d8d1979ff02460f3df6faf566a7a01c.bytes     720,004 B
map_world_config_setting_29d541c1d26eff676e2d02b24932a7d7.bytes      248 B
map_world_config_terrain_5199904f17161e093854c3716634bcd2.bytes  526,137 B

setting 头部 hexdump：

00000000: 0100 0000 b004 0000 0000 4040 0000 a043  ..........@@...C
00000010: 0000 803f 0000 8c42 cdcc 4c3f 6666 a63f  ...?...B..L?ff.?
00000020: 2ba7 0540 a283 2140 a283 e13f 6795 1340  +..@..!@...?g..@

item 头部：0100 0000 7600 0000 0356 0000 0d56 0000 ...（0x01 版本 + 计数 + 递增索引）。

• 这些是世界地图（SLG 大世界）配置，采用自研紧凑二进制 + IEEE-754 小端浮点；可能经 EncryptXOR 变体处理（首字节版本标记 0x01 保留，其余为数值）。与 AssetBundle 是两套不同的存储/加密路径（Data/Raw/world vs Data/Raw/data）。

6. 音频：CriWare（CRI ADX2 / AFS2）#

Data/Raw/sound/ 共 36 个文件，39 MB，全部为 CriWare（CRIWARE）中间件 容器：

$ xxd -l 16 acf_GOF_CRI_...acf       # ACF 全局配置
00000000: 4055 5446 0000 3e58 0001 0158 0000 029a  @UTF..>X...X....
$ xxd -l 16 acb_sound_login_...acb   # ACB
00000000: 4055 5446 0009 2d58 0001 01f8 0000 03af  @UTF..-X........
$ xxd -l 16 awb_music_guide_...awb   # AWB
00000000: 4146 5332 0204 0200 0500 0000 2000 0000  AFS2........ ...

• @UTF = CriWare ACB UTF 表（ACB Format/PC Ver.1.37.1 Build:）；AFS2 = AWB 音频流容器。
• 元数据确认存在 CriWare.CriFsLoadAssetBundleRequest、CriWare_CriAtomListenerWrap、CriWare_CriMonoBehaviourWrap，以及 CriMw.CriWare.Runtime.dll → 使用 CRI Atom / ADX2，音频自带 CRI 加密密钥体系（ACB Header 中的 Crypt 字段 + AWB Key；解密需 CriWareDecrypter/acb2wav + 对应 key）。
• 语音/节日资源可见：acb_zh_voice_story_local_*、acb_zh_voice_heroexhibit_local_*、acb_music_loading_holiday_dragonboat2026_*、acb_music_loading_holiday_midautumn2026_*、acb_music_loading_holiday_worldcup2026_*、acb_sound_battle_*、acb_sound_slg_* 等。

7. 结论与保护强度评估#

逆向利用路径（建议）： 1. 元数据已解 → 从 out_identifiers.txt 定位 Helper.EncryptXOR0/1/2、CalcEncryptKeyFromString、AssetDataInfo.CalcOffsetFromString，在 UnityFramework 中定位实现以还原首块密钥算法； 2. 解出首块后，把每个 .unity3d 的 block[0] 还原为标准 LZ4HC 流，即可用 UnityPy/AssetStudio 全量导出贴图、Spine、Prefab、Shader； 3. 针对 luapackage_32/64，反编译 Lua 字节码（注意 DecryptLuaBytecode/CheckLuaBytecodeHeader 的二次加密）以获取业务逻辑； 4. 音频使用 CriWare 对应 key 解密 ACB/AWB。

附：本次分析复现脚本（均位于 artifacts/）

04 - 二进制结构、运行时保护与反篡改分析#

0. 二进制清单与总体结构#

0.1 三主二进制概况

| 二进制 | 相对路径 | 大小 | file 类型 | CPU | 文件类型 | |---|---|---|---:|---|---|---| | 主可执行文件 | whiteoutsurvivalcn | 138,720 B | Mach-O 64-bit executable | arm64 | MH_EXECUTE | | Unity 引擎库 | Frameworks/UnityFramework.framework/UnityFramework | 77,587,120 B | Mach-O 64-bit dylib | arm64 | MH_DYLIB | | 推送扩展 | PlugIns/CGPushServerExtension.appex/CGPushServerExtension | 74 KB 级 | Mach-O 64-bit executable | arm64 | MH_EXECUTE |

0.2 关键 Mach-O 头信息（otool -h / otool -hv）

结论： - 两个可执行文件均带 MH_PIE（ASLR 已启用，0x200000 位）。 - UnityFramework 是 MH_DYLIB，无 MH_PIE 标志（dylib 本身在进程内由 dyld 随机化加载）。

0.3 加密状态 LC_ENCRYPTION_INFO_64（cryptid）

三个二进制的 cryptid 均为 0，确认 IPA 已完成 App Store 加壳解密（属于 "und3fined"（越狱工具）解密产物，非原始加密 IPA）。LC_BUILD_VERSION：主二进制与 UnityFramework 均为 platform 2 (iOS)、minos 12.0、sdk 26.1。

0.4 栈保护与 ARC 证据

命令：nm -u <bin> | grep -i stack_chk，nm -u <bin> | grep -E "_objc_(retain|release|autorelease|storeStrong)"

结论：UnityFramework 与推送扩展开启了栈溢出保护（stack canary）并使用 ARC；主可执行文件作为极简 Unity 启动器未启用 canary（无自有 C 逻辑）。此外 UnityFramework 引用了 _ptrace、_sysctl、_sysctlbyname、_fork、_forkpty、_pthread_atfork —— 这些是反调试 / 环境探测的典型依赖（详见第 3 节）。

0.5 链接的动态库（otool -L）

主可执行文件（11 项，仅 1 个 @rpath 第三方库）：

/usr/lib/libz.1.dylib
/usr/lib/libsqlite3.dylib
/usr/lib/libicucore.A.dylib
/System/Library/Frameworks/SwiftUI.framework/SwiftUI          (weak)
/System/Library/Frameworks/StoreKit.framework/StoreKit
/System/Library/Frameworks/Foundation.framework/Foundation
/usr/lib/libobjc.A.dylib
/usr/lib/libc++.1.dylib
/usr/lib/libSystem.B.dylib
/System/Library/Frameworks/CoreFoundation.framework/CoreFoundation
@rpath/FirebaseNIMessInstallation.framework/FirebaseNIMessInstallation

推送扩展 CGPushServerExtension.appex（13 项）：

/System/Library/Frameworks/CFNetwork.framework/CFNetwork
/System/Library/Frameworks/CoreGraphics.framework/CoreGraphics
/System/Library/Frameworks/CoreMedia.framework/CoreMedia
/System/Library/Frameworks/CoreMotion.framework/CoreMotion
/System/Library/Frameworks/CoreTelephony.framework/CoreTelephony
/System/Library/Frameworks/Foundation.framework/Foundation
/System/Library/Frameworks/UIKit.framework/UIKit (weak)
/System/Library/Frameworks/AdSupport.framework/AdSupport
/System/Library/Frameworks/UserNotifications.framework/UserNotifications
/System/Library/Frameworks/UserNotificationsUI.framework/UserNotificationsUI
/usr/lib/libobjc.A.dylib
/usr/lib/libSystem.B.dylib
/System/Library/Frameworks/CoreFoundation.framework/CoreFoundation

LC_RPATH（主二进制）：/usr/lib/swift、@executable_path/Frameworks、@loader_path/Frameworks。 LC_LOAD_DYLIB @rpath 第三方框架（全部位于 UnityFramework）：AFNetworking、AdjustSdk、AdjustSigSdk、BDASignalSDK、Protobuf、ThinkingDataCore、ThinkingSDK、UnionOpenPlatformCore、UnionOpenPlatformDataLink、CrashSightPlugin、CrashSightAdapter、CrashSightCore、CrashSight、FirebaseNIMessInstallation 以及 libswift*.dylib 系列。

1. UnityFramework 链接的系统框架（otool -L 全量）与隐私/权限映射#

UnityFramework 共链接 77 个 dylib/framework（otool -L "$UF" | tail -n +2 | wc -l → 77）。以下按隐私/能力域归类（全部为系统框架，第三方见第 7 节）：

配套 PrivacyInfo.xcprivacy：声明访问 SystemBootTime、DiskSpace、UserDefaults、FileTimestamp；收集 DeviceID（linked=true，用途 Analytics/Other）与 PhotosorVideos；NSPrivacyTracking = false（但实际链接了 AdSupport/ATT，声明与能力存在张力）。Info.plist 中 NSAdvertisingAttributionReportEndpoint = "https://adjust-skadnetwork.com"（注意字符串尾部含一个零宽空格 U+200B）。

2. 反篡改 / 反调试 / 反作弊证据（字符串 + 符号）#

2.1 越狱检测（jailbreak / Cydia / Substrate）

JailbrokenStatus 以 ObjC 属性/IL2CPP 符号形式存在（_jailbrokenStatus + setJailbrokenStatus: + 类型编码 TQ,N,V_jailbrokenStatus），说明越狱状态被读取并在 C#/ObjC 层保存。

2.2 反调试

2.3 反作弊（核心为网易 NetEase NetSec / 易盾体系）

关键文件 Data/Managed/Metadata/gm_NTESCSLLVMPASSKEY.dat：文件名直指 NetEase（NTES）+ IL2CPP LLVM 混淆 pass key，与 global-metadata.dat 同尺寸（9,902,340 B）。其 SHA-256 与 artifacts/global-metadata.dec.dat 完全相同（10257396bf…6097e），说明该文件内容即解密后的元数据（可能是分析过程回写产物，也可能是 NetEase 元数据解密/校验所需的密钥流），两种可能均指向 NetEase 对 IL2CPP 元数据做了自定义加密/混淆（原始 global-metadata.dat 哈希 edb4a80e…86e98 ≠ 解密后 2997a109…6c3b9）。同目录另有 key612.bin / key612_mode.bin（各 612 B，内容呈 XOR 混淆字节）。

2.4 未命中的探测（重要结论）

在本包中未发现下列常见安卓侧/PC 侧作弊工具的直接特征串：frida、xposed、libhooker、cycript、gameguardian、speedhack、mudfish，也未发现中文字面串 模拟器、外挂、作弊。iOS 侧的反作弊由 NetEase NetSec（原生/托管混合） 承担，检测逻辑多在 IL2CPP 元数据混淆后，字符串层仅暴露 API 名称。

3. 文件 / 资源完整性校验#

判定：资源完整性采用 MD5 清单校验（VersionManifestChecker）+ 单文件 MD5，属"完整性/防损坏"级别（MD5 可碰撞，非抗攻击的密码学防篡改）。真正具备运行时防篡改语义的是 NetEase SafeComm 通道与 SC_DATA_TAMPERED 标志。

4. 证书固定 / TLS#

结论：该包未实现真正的证书固定（certificate pinning）。TLS 完全依赖系统信任链；AFNetworking 的 AFSecurityPolicy 仅作为未配置的通用能力存在，未见硬编码 pin/cert。所谓 "pinning/SPKI" 命中均为第三方网络库样板（Mono/BoringSSL/BouncyCastle），非游戏自研防中间人实现。

5. IFix 热更新（HotFix）#

运行时风险： 1. 动态代码注入：IFix 在运行时下载 .patch.bytes 并由 VirtualMachine 执行/替换已编译的 IL 方法，等于可远程更新游戏逻辑，绕过 App Store 静态审核与签名保险。 2. 远程任意行为面：热更通道一旦被劫持/中间人（结合第 4 节无 pinning），可向客户端注入任意逻辑。 3. 与反作弊协同：EnableHotFix/HotFixAll 受服务端配置控制；官方借此快速修补逻辑，但也放大了"补丁完整性校验"的重要性（当前仅 MD5 校验，防篡改强度有限）。 4. Data/Managed/Metadata/ 下存在 global-metadata.dat（加密）与 gm_NTESCSLLVMPASSKEY.dat，说明 IL2CPP 元数据本身被 NetEase 二次加密，静态分析须先解密元数据（本包已提供解密产物）。

6. 第三方 SDK 二进制：内嵌密钥 / 端点 / 签名校验#

appex CGPushServerExtension：https://logagent-wf.centurygame.com/log（推送投递日志上报）、CenturyGamePushData、sdk.push.eventhook、caffeinePushEventReport:event:。

App 级明文配置中的内嵌秘密（非二进制，但同属二进制外泄面） ddCommon.json： - adjust（长 hex token）、constants、secret、secret_android_*、rum.production/sandbox、smarthelp.*、tga、umbra_gateway.*（均为超长 hex 串，疑为加密后的密钥/开关）； - helpshift: 8c855fd7c4cc6b899e2c64f37ecc65b3（32-hex）； - 明文 ID：game_id 20173、bugly_id 341c16d88c、wechat_app_id wx32374c9038cf9759、douyin_client_key awebivvetg90lv93、access_id 1580019064、access_key AQC2K08T7CLS； - UOPSDKConfig.json：app_id 789841（UnionOpenPlatform）。 - Info.plist 中的 URL scheme 亦暴露微信 AppID（wx32374c9038cf9759）与抖音 key（awebivvetg90lv93）。

7. 风险结论#

1. 壳/加密：三个主二进制 cryptid=0（已解密），但 IL2CPP 元数据被 NetEase 二次加密/混淆（global-metadata.dat 原始哈希 ≠ 解密后；gm_NTESCSLLVMPASSKEY.dat / key612*.bin 佐证），静态分析必须依赖解密产物。
2. 反作弊=网易 NetSec/易盾：反篡改核心是 NetEase.NetSecProtect + SafeComm（V30 加密信道）+ SC_DATA_TAMPERED 标志；具备设备指纹采集（NetSecGetCollectDataHelper）与模拟器探测（NetSecGetEmulatorName）。
3. 越狱/调试检测齐备：完整 Cydia/Substrate 路径集、isJailBreak、jailbrokenStatus 属性、isDebuggerAttached/isDebuggerAttachedToConsole，并在 UnityFramework 依赖 ptrace/sysctl。
4. 完整性校验偏弱：VersionManifestChecker 与资源校验使用 MD5（非抗攻击），"Invalid MAC…tampered with" 实为 BouncyCastle 库文案，非真实资产防篡改。
5. 无真实证书固定：TLS 依赖系统信任链，AFNetworking 的 pinning 能力未被配置；结合 IFix 运行时 IL 热更（./Assets/Temp/ilpatch/{0}.patch.bytes），存在热更通道被中间人劫持后注入代码的残余风险面。
6. 内嵌凭据面广：ddCommon.json、Info.plist 明文暴露微信/抖音/UnionOpenPlatform/COS 等标识与密钥密文；CrashSight 的 COS 上传、Adjust/字节 SDK 的 HMAC 签名在运行时下发密钥。

05 · 网络端点、配置文件与硬编码密钥分析#

本章基于已脱壳的 com.gof.china 1.15.6（无尽冬日 / Whiteout Survival CN）IPA 及其预抽取产物，梳理对外网络端点、配置内嵌字段、密钥/标识符定性、构建与供应链残留四类信息。

数据来源（只读、离线）：

5.1 端点清单（按用途分类）#

5.1.1 游戏资源 / CDN（全部 HTTPS）

5.1.2 配置 / 版本 / 设备（全部 HTTPS）

5.1.3 GM / 运营 / 后台 API（⚠ 重点标记）

为何值得关注： GM/运营 API 域名（gofcn-gm-api-*）出现在 C# 字面量与 Lua 字节码中，意味着客户端具备调用 GM 接口的能力；同时生产、测试（-test-out）、staging 三套地址全部随线上包发布，任意一套被盗用即可作为横向探测入口。diandian.info（旧法人域）与 echofungames.com、100topia.cn（关联域）暴露了基础设施的历史与关联资产。

5.1.4 第三方 SDK / 社交 / 广告（HTTPS）

5.1.5 框架 / 文档噪声（HTTP 明文，非运行端点）

以下均为第三方库内嵌注释/命名空间，与本游戏业务无关，且多为 HTTP 明文：

• http://www.w3.org/2000/09/xmldsig#*、http://www.w3.org/2001/04/xmldsig-more#*、http://www.w3.org/2001/04/xmlenc#*（XML 签名/加密命名空间）
• http://www.root-motion.com/finalikdox/html/*（Final IK 文档）
• http://forum.unity3d.com/threads/final-ik-...222685/
• https://docs.unity3d.com/Manual/LogFiles.html、https://groups.google.com/forum/#!forum/final-ik
• https://github.com/mono/mono/issues/12880
• https://bitbucket.org/sirenix/odin-inspector/issues/526（Odin）
• https://apps.apple.com/cn/app/.../id6478492012（本作 App Store 页）
• https://localhost/（占位）
• https://bestdocshub.pages.dev/HTTP/getting-started/downloads/
• http://www.apple.com/DTDs/PropertyList-1.0.dtd（各 Info.plist DTD）

5.1.6 HTTP 明文 vs HTTPS 汇总

• 业务/配置/GM/第三方 SDK 端点：100% 为 HTTPS。
• 明文 http:// 仅出现在框架文档噪声与 plist DTD 中，不构成运行期明文传输。
• 值得注意：Info.plist 未声明 NSAppTransportSecurity 例外（grep -c = 0），即系统 ATS 默认拦截明文 HTTP——与“真实端点全部 HTTPS”一致。

5.1.7 snapshot 端点专项

https://clientversion.diandian.info/snapshot/

• 同时存在字面量 /snapshot（out_literals.txt:841，无 scheme 的路径片段）。
• 语义为客户端版本/资源快照（版本比对与增量更新入口）。以旧法人域 diandian.info 承载，说明该更新链路沿用较早基础设施；/snapshot/ 未带签名参数，若服务端鉴权不足，可能成为版本枚举/降级攻击的探测面（仅从端点形态判断，未做验证）。

5.2 ddCommon.json 全量分析#

路径：extracted/Payload/whiteoutsurvivalcn.app/ddCommon.json（应用根目录随包发布，MD5 7cef956efab74190b927f30952cc5b40）。该文件是明文 JSON，含有大量标识符与加密配置块。

5.2.1 顶层字段

5.2.2 platform.ios（与 android / oh 并列）

5.2.3 platform.android / platform.oh 额外字段

5.2.4 明文评述

game_id(20173)、bugly_id、wechat_app_id、douyin_client_key 均为客户端公开/半公开标识，本身泄露风险低（受平台侧签名与服务端校验约束）。真正的敏感点是腾讯推送 access_key 与全部 hex/base64 加密块中的对称配置。

5.3 不透明字段（hex / base64）的格式与熵评估#

所有 hex 块均为偶数字节长度的十六进制串（首字节均为 cfab7bf2.../995ea76d... 等固定前缀），Base64 块 unity_config 以 B19cZy+w... 开头，末尾以 = 填充。逐字段字节熵（Shannon，bits/byte）如下：

格式判定（只做结构描述，不尝试破解）：

1. 高熵块（≥7.0 bits/byte）符合 AES/分组加密密文或高熵密钥材料 的特征；uint8 分布均匀，无可见明文结构。
2. 低-中熵块（secret_android_* 5.3–6.0）熵偏低，提示其内部包含重复的固定前缀/版本段（例如 secret_android_production 与 sandbox 前 8 字节完全相同），可能是“加密后的字符串 + 固定元数据”的混合体。
3. 多组字段共享相同前缀，说明它们是同一密钥体系/同一序列化器产出（例如 secret 与 secret_android_game 均以 2564594d... 开头；umbra_gateway 两环境前缀相同、仅尾部不同）。
4. tga_encryption_info 在 android/ios/oh 三平台字节完全一致，且与被引用为顶层的 tga（224B）不同——说明 tga 存在平台无关的公共加密材料。
5. unity_config 为 Base64 包裹的密文/二进制配置（含 + / =，解码后 992 字节、熵 7.77）。

5.4 UOPSDKConfig.json#

路径：extracted/Payload/whiteoutsurvivalcn.app/UOPSDKConfig.json（MD5 c85fe6aa0a1d58aeb9c6a80b9f1379c0），全文：

{
  "app_id": "789841",
  "osdk_type": "Omnichannel_ActivityLink",
  "client_key": {
    "douyin_key": ""
  },
  "debug_mode": false
}

结论：UOPSDK 的敏感 douyin_key 为空，未在包内泄露；此为正确做法，可作为对照项。

5.5 密钥定性汇总：真密钥 vs 公开标识#

要点：唯一明文真密钥是腾讯 TPNS 的 access_key；其余敏感材料均被加密包裹，属于“有防护但仍随包分发”的配置。

5.6 构建 / 供应链残留（随生产 IPA 发布）#

以下文件被打包进了线上 IPA，属于典型的“开发/CI 产物泄漏”。

5.6.1 install/buildIpa.sh

projName=$1
projPath=$2
codeSignType=$3
provision=$4
#provision="60a0e608-4a3b-42cb-8191-ae06c24af1e2"
...
xcodebuild archive -project $projName.xcodeproj -scheme $projName -configuration Release \
  -archivePath $projPath/output/$projName.xcarchive \
  CODE_SIGN_IDENTITY="$codeSign" PROVISIONING_PROFILE="$provision" > output/archiveLog.txt

• 泄露CI 打包流程与签名方式（iPhone Distribution）。
• 注释中残留配置描述文件 UUID：60a0e608-4a3b-42cb-8191-ae06c24af1e2。

5.6.2 install/autoUpdateRepoPublic.sh

CGSRepo="bitbucket.org/funplus/centurygamesdkpodspec.git"
...
sourcePath=$(grep -E 'source.*oauth2:' $podfilePath | awk '{print $NF}' | sed ...)
addRepoCommand="pod repo add CenturyGameSDKPodSpecPublic ${sourcePath}"

• 泄露内部 Bitbucket 仓库：bitbucket.org/funplus/centurygamesdkpodspec.git（组织 funplus，与世纪游戏/点点同源）。
• 脚本从 Podfile 的 source ... oauth2: 行提取 CocoaPods 私有源地址（含 oauth2 令牌位）——即私有 spec 源使用带令牌的 oauth2: 形式，令牌不在此脚本内但指明其存在。
• 涉及缓存清理对象：CenturyGameiOSCGIDWebResource（CGID Web 资源 Pod）。

5.6.3 CenturyGameResources.bundle/merge.sh + merge_infoplist.py

• merge.sh：构建期脚本，调用 python .../CenturyGameResources.bundle/merge_infoplist.py $projectName $config_path
• merge_infoplist.py：读 ddCommon.json 的 platform.ios 段，在打包时动态改写 Info.plist，写入 CFBundleURLSchemes（centurygame=com.diandian.logger.<game_id>、wechat、QQ、Facebook、Google、Twitter、Naver 等）与 LSApplicationQueriesSchemes。
• 代码为 Python 2 语法（print 语句、has_key），说明构建链较旧。
• 依赖 mopub-sdk-id.json（SKAdNetwork 列表）注入 SKAdNetworkItems。

5.6.4 SC_Info/ 内容

• 主二进制与 UnityFramework 的 cryptid 均为 0（已脱壳），因此 SC_Info 仅为 App Store 加密时代的残留容器，本身不含可解密密钥。
• Manifest.plist 完整暴露了内部 framework 构成（Adjust、CrashSight、ThinkingSDK、BDASignalSDK、UnionOpenPlatform、Firebase 等）。

5.6.5 Payload/decrypt.day

und3fined

• 内容为 9 字节 ASCII und3fined，位于 Payload/decrypt.day。
• 这是第三方脱壳/解密工具（“und3fined”）在重打包时留下的标记文件，证明该 IPA 已被第三方工具处理过，并非官方发布产物。此文件本身不携带密钥，但标记了供应链中间环节。

5.7 主机 / 格式清单（IP、端口、ws/wss）#

5.7.1 硬编码 IP 与端口

• 未发现真实业务 IP 或端口。out_literals.txt 中形如 1.1.3.1、1.2.643.2 的均为 ASN.1/X.509 OID；:1987、:1988、:1991、:13321 分别来自字符集名（ISO_8859-3:1988 等）与版本号，非网络端口。
• 仅见占位值 0.0.0.0 与 https://localhost/（框架占位）。
• 游戏服务器地址显然不硬编码于可读字面量，而是经 platform-config / clientversion / 加密 umbra_gateway / constants 在运行时下发。

5.7.2 ws:// / wss://（实时通信）

• 字面量中不存在硬编码的 ws:///wss:// 端点（对 out_literals.txt 全文匹配 wss?:// 仅得 scheme 常量）。
• 存在的仅是协议相关常量/报错文本：
• 字面量：Only Uris starting with 'ws://' or 'wss://' are supported.
• Lua 字节码片段：在 IsWebSocket 附近出现 ws:// 与 ws（属 UnityWebSocket/Mono 的 scheme 判定，非端点）。
• 实时通信能力确实存在，由以下证据确认：
• Data/ScriptingAssemblies.json 含 UnityWebSocket.Runtime.dll；
• 类型：CenturyGame.GameFramework.WebSocketProxy（Open/SendBinary/SendMessage/SetOpenHandler...）及 Lua 包装 CenturyGame_GameFramework_WebSocketProxyWrap；
• 加密配置 umbra_gateway（production/sandbox） 即网关（Gateway）配置块，实时网关地址被加密隐藏，无法在不解密的前提下读出。

5.7.3 其他主机格式

• dd_sdk_unity_version = 8.0.5.0-GOFCN-1（Info.plist），dd_sdk_environment_production = true——两平台环境标志。
• 腾讯推送主域 tpns.sh.tencent.com（无 scheme，ddCommon.json）。

5.8 风险定级与结论#

结论： 该版本没有在可读字面量中硬编码业务服务器地址、IP 或端口，实时网关被加密（umbra_gateway）保护，基础网络传输（HTTPS + ATS 默认）较为规范；主要问题不在“网络层”，而在配置与供应链层——GM/运营多环境地址外泄、唯一明文推送密钥内嵌，以及构建脚本/私有仓库线索随 IPA 发布。建议：移除 install/、merge*.py/sh、decrypt.day 等非运行产物；将 TPNS access_key 移至服务端签发；对 gofcn-gm-api-* 与 snapshot 加强服务端鉴权与限流。

06 · IL2CPP 元数据加密还原（核心技术章节）#

本章记录本次逆向中最具技术含量的部分：绕过 global-metadata.dat 的加密保护，并从中还原出该 Unity 游戏的完整符号体系。

6.1 背景：IL2CPP 与元数据#

Unity 使用 IL2CPP 后端时，C# 程序集会被 AOT 编译为原生代码，同时把"反射所需的元数据"（类型、方法、字段、字符串字面量、程序集清单等）集中写入：

Data/Managed/Metadata/global-metadata.dat

其结构以一个固定头开始（magic 0xFAB11BAF），随后是各数据区（字符串表、方法表、字段表、类型定义表、程序集映像表……）的偏移与大小。只要能读出该文件，就能恢复出游戏的全部 C# 符号（类名/方法名/字符串常量），因此厂商常对它做加密。

标准头签名（little-endian）：

AF 1B B1 FA | version(int32) | stringLiteralOffset | stringLiteralSize | ...

本样本原始文件头却是：

00000000: e14f f4a9 5c53 4c4c 564c 5041 a309 4945   .O..\SLLVLPA..IE

原始 magic 已被破坏，且整个文件呈现异常高的"可打印 ASCII"比例（73.3%）——这是周期 XOR 的典型特征（明文多为小值/0，XOR 上 ASCII 密钥后落入可打印区）。

6.2 破译过程#

步骤 1 · 自相关定位密钥周期

对密文做逐 lag 的字节自相关 P(ct[i] == ct[i+L])（numpy，采样加速）。若密文由周期密钥 XOR 生成，则当 L 为周期整数倍时，相同明文位置会重复出现相同密文，匹配率显著抬升。

结果（Top 峰值）：

所有峰值均为 612 的倍数，故真实周期整除 612。612 = 36 × 17，提示周期可能远短于 612。

步骤 2 · 相位众数恢复密钥

对每个相位 i mod 612 统计密文字节众数（明文 0x00 占主导时，密文＝密钥）：

key[0..15] = 4E 54 45 53 EE 6E 4C 4C 56 4D 50 41 AC AC 4B 45
             N  T  E  S  .  n  L  L  V  M  P  A  .  .  K  E

可见其高度重复，呈现 17 字节模式（NTES…LLVMPA…KEY）。结合步骤 1 的 612=36×17，判定真实周期为 17。

步骤 3 · 用已知明文校验并定钥

密钥前 4 字节 XOR 密文头应等于标准 magic AF 1B B1 FA：

E1 4F F4 A9  XOR  key[0..3] = AF 1B B1 FA
=> key[0..3] = "NTES"    (0x4E 0x54 0x45 0x53)

再以版本字段（应为小整数）反推 key[4..]，最终得到完整 17 字节周期密钥：

NTESCSLLVMPASSKEY
( 4E 54 45 53 43 53 4C 4C 56 4D 50 41 53 53 4B 45 59 )

步骤 4 · 解密验证

以该密钥对整文件循环 XOR：

明文头: AF 1B B1 FA | 1F 00 00 00 | ...
        magic 正确   version = 31

• version = 31 → 合法的 IL2CPP 元数据版本；
• 字符串区可完整读出（The exception contained the following message:、Lua 运行时源码片段等）；
• 全文件任意位置均可检出 UnityEngine.MonoBehaviour、mscorlib、Assembly-CSharp、get_DeviceID、AntiCheatResult、DecryptLuaBytecode 等符号。

结论：解密完全正确且可复现（脚本见附录）。

步骤 5 · 保护方案归因（NetEase 易盾）

密钥串前缀 NTES 与元数据中还原出的符号高度吻合，指向 网易易盾 NetSec（NetEase.NetSecProtect） 加固方案：

NetEase.NetSecProtect / NetEase.AntiCheatResult / NetEase.SafeCommResult
NetEase.HTProtectConfig / NetEase.GetTokenCallback / NetEase.RequestCmdID
InitNetSecProtect / NetSecGetEmulatorName / NetSecGetToken / NetSecGetCollectDataHelper

NTES 恰为 NetEase 的股票代码/缩写。可判定该游戏的 IL2CPP 元数据加密 + 反作弊/设备指纹 均由网易易盾 SDK 提供（NTES…PASSKEY 很可能为易盾生成的一次性/固定口令）。

6.3 还原结果#

解密后文件：artifacts/global-metadata.dec.dat（9,902,340 B，version 31）。

6.3.1 元数据结构统计（由文件头直接解析）

6.3.2 程序集（Images）清单（69 个）

按类型数量排序的、值得关注的自研/第三方程序集：

6.3.3 业务与技术栈画像（标识符挖掘）

从 artifacts/out_identifiers.txt（88,084 个标识符）与 artifacts/out_types.txt 可还原出游戏技术栈：

① 脚本层：Lua（XLua / LuaInterface）

CenturyGame.GameFramework.LuaModule     (Init/CallLua/ExecuteStringCode/…)
CenturyGame.GameFramework.LuaLoader     (AddLuaBundle/GetLuaFromBundle/ReadZipFile)
CenturyGame.GameFramework.Helper.DecryptLuaBytecode / EncryptLuaBytecode / CheckLuaBytecodeHeader
LuaInterface (50 个类型)

→ 游戏玩法逻辑以 Lua 字节码形式承载，资源包内 luapackage_32/64_*.unity3d（各约 20 MB）即其容器，运行时解密执行。这意味着"上层玩法可被反编译/篡改"，是关键攻击面。

② 资源层：AssetBundle + XOR 加密

CenturyGame.GameFramework.Helper.EncryptXOR / EncryptXOR1 / EncryptXOR2
CenturyGame.GameFramework.Helper.CalcEncryptKeyFromString
CenturyGame.GameFramework.AssetDataInfo.BundleEncryptOffset
CenturyGame.GameFramework.AssetBundleMgr / AssetBundleDownloadHandler / AssetHelper
CenturyGame.GameFramework.VersionManifestChecker.GetManifestMd5PrefsKey

→ 资源包采用偏移/异或加密 + MD5 清单保护。

③ 自研框架能力

CenturyGame.GameFramework.AssetModule / AtlasModule / CacheModule / AudioModule
CenturyGame.GameFramework.WebSocketProxy / BestHttpGetWork / HttpRequestWork / HttpGetAppVersion
CenturyGame.GameFramework.SDKModule.OnRequestIDFATrackingAuthorization
centurygame.IOS.*   (18 个类型, iOS 原生桥接)

④ 安全与风控相关符号

AntiCheatResult
isJailbreak / isJailbroken / _jailbrokenStatus / setJailbrokenStatus:
isDebuggerAttached / isDebuggerAttachedToConsole
SC_DATA_TAMPERED  ("Invalid MAC - file may have tampered with!")
Cmd_GetDeviceId / DeviceID / GetIDFA / GetIDFV / CGIDFAAuthorizationStatus
ConstDefine.DeviceID / GameConfig.DeviceID
GetManifestMd5 / CalcMd5StringFromHash / CRC32

⑤ 实时通信 / 协议

com.fpnn.rtm / com.fpnn.msgpack / com.fpnn.proto   (FNNS RTM 即时通讯协议栈)
UnityWebSocket.Runtime
Protobuf (Google Protocol Buffers 3.29.5)
CenturyGame.GameFramework.BytePackHelper

6.3.4 网络端点（由字符串字面量还原，详见第 5 章）

从 19,294 条字面量中提取出的真实业务域名示例：

https://gofcn-prod-cdn.campfiregames.cn/RELEASE/          # 生产 CDN
https://gofcn-prod-cdn.centurygames.cn/RELEASE/
https://gofcn-qa-cdn.campfiregames.cn/{RELEASE,TEST}/     # QA CDN
https://gofcn-qa-cdn-1322302784.cos.ap-shanghai.myqcloud.com/...  # 腾讯云 COS QA
https://platform-config-prod.centurygame.com/config.json  # 平台配置
https://platform-config-sandbox.centurygame.com/config.json
https://clientversion.diandian.info/snapshot/             # 版本快照
https://devcenter.campfiregames.cn/api/devices            # 设备中心
https://gofcn-gm-api-prod.campfiregames.cn                # ★ GM/运营后台 API
https://gofcn-gm-api-test-out.campfiregames.cn
https://gofcn-gm-api.diandian.info

→ 其中 gofcn-gm-api*（GM 接口） 与 devcenter 属管理面域名，出现在客户端包内值得关注（虽通常另有鉴权，但域名与路径暴露扩大了攻击面）。

6.4 还原价值与影响#

1. 符号级可读：还原后可直接得到所有类/方法/字段名，Unity 反编译工具（Il2CppDumper + IDA/Ghidra/Il2CppInspector）可无缝加载 global-metadata.dat，将原生代码函数与 C# 符号对应。
2. 攻击面外扩：结合 DecryptLuaBytecode 与 BundleEncryptOffset 的还原，攻击者可进一步解密资源包与 Lua 字节码，从而修改玩法数值、资源或逻辑。
3. 风控可描述：AntiCheatResult、越狱/调试检测、MD5 清单校验等机制被完整枚举，便于评估其绕过成本（多为客户端本地检测，绕过成本低）。

6.5 可复现命令#

# 1) 解包
unzip com.gof.china_1.15.6_und3fined.ipa -d extracted

# 2) 解密 global-metadata.dat（使用附录脚本，密钥 NTESCSLLVMPASSKEY）
python3 artifacts/decrypt_global_metadata.py \
    extracted/Payload/whiteoutsurvivalcn.app/Data/Managed/Metadata/global-metadata.dat \
    artifacts/global-metadata.dec.dat

# 3) 校验
xxd artifacts/global-metadata.dec.dat | head -1    # 期望: af1b b1fa 1f00 0000 ...
strings artifacts/global-metadata.dec.dat | grep -m1 UnityEngine.MonoBehaviour

自相关复现代码（关键片段）

import numpy as np
data = np.frombuffer(open("global-metadata.dat", "rb").read(), np.uint8)
sub = data[::7]
for L in range(1, 8193):
    print(L, np.mean(sub[:-L] == sub[L:]))   # 观察 612 及其倍数处的峰值

密钥恢复（众数法）

from collections import Counter
P = 612
key = bytes(Counter(data[i::P].tolist()).most_common(1)[0][0] for i in range(P))
# key 呈 17 字节周期 -> 取前 17: b"NTESCSLLVMPASSKEY"

07 · 风险汇总、攻击面与加固建议#

7.1 描述性风险清单#

7.2 攻击面总结#

                       ┌──────────────────────────────────────────────┐
   静态逆向 ─────────► │ ① global-metadata XOR  →  全量 C# 符号         │
                       │ ② AssetBundle XOR      →  资源/贴图/配置        │
                       │ ③ Lua 字节码加密        →  玩法逻辑            │
                       └──────────────────────────────────────────────┘
                       ┌──────────────────────────────────────────────┐
   运行时攻击 ───────► │ ④ 明文 HTTP（扩展）     →  MITM 注入            │
                       │ ⑤ 本地风控绕过          →  越狱/调试/内存修改    │
                       │ ⑥ 热更新/调试通道       →  动态代码加载          │
                       └──────────────────────────────────────────────┘
                       ┌──────────────────────────────────────────────┐
   供应链 ───────────► │ ⑦ 残留构建脚本/内网仓库 →  情报泄露             │
                       └──────────────────────────────────────────────┘

7.3 加固建议#

A. 数据与逻辑保护 1. IL2CPP 元数据改用强加密 + 完整性方案：如运行时密钥派生（结合设备/签名指纹）的 AES-GCM/ChaCha20，并校验 MAC；避免固定、可打印、可自相关的周期密钥。 2. Lua 字节码：自定义 VM/指令集 + 逐包密钥，密钥不落盘（由服务端下发或 KDF 派生），杜绝 CalcEncryptKeyFromString 这类静态可推导方式。 3. AssetBundle：在 XOR 之上叠加逐资源密钥 + 签名校验，并将关键数值/配置改为服务端权威。

B. 传输安全 4. 移除扩展的 NSAllowsArbitraryLoads，全站 HTTPS 并在主 App 明确声明 ATS 例外（如确需）。 5. 引入 证书/公钥固定（SSL Pinning） 或 mTLS，并对关键业务（登录、支付、下发配置）做端到端签名。

C. 风控 6. 将关键风控判断上移到服务端（行为序列、协议校验、回包签名），客户端检测仅作辅助。 7. 对客户端完整性（代码段/资源/Lua 包）做签名校验而非仅 MD5。

D. 供应链与合规 8. 从发布包中移除所有构建脚本、Podfile 片段、内网仓库引用与 OAuth token；发布流水线做产物白名单。 9. 统一 SDK 隐私清单与实际行为（NSPrivacyTracking），修正文案与 URL 转义（去除零宽字符），合并 SKAdNetwork 清单。 10. 管理面（GM/DevCenter）与客户端网络隔离，限制域名/接口可见性并强化鉴权与审计。

7.4 结论#

该样本的客户端加固属于"混淆型"而非"密码学型"：核心保护（元数据、Lua、资源）均为可离线还原的可逆变换，其设计目标是提高自动化逆向的门槛，而非提供真正的机密性。配合未固定的传输信道、客户端本地风控与发布包内的供应链残留，整体呈现中高风险画像。

对于防守方，优先级排序为：R6（供应链泄露）> R2/R3（逻辑/资源可篡改）> R4（明文 HTTP）> R1/R7（元数据与配置可逆）> R8–R11（合规与风控）。

08 · 内购 / 充值系统（IAP）逆向分析#

8.0 结论摘要（TL;DR）#

8.1 支付 SDK 面（Unity.dd.sdk.scripts.payment）#

8.1.1 程序集类型清单

在 out_types.txt 中该 DLL 仅导出 12 个类型（行 ##### Unity.dd.sdk.scripts.payment.dll (12 types)）：

<Module>
centurygame.CGCnMediaOrderParam
IDelegate
<>c__DisplayClass50_0
centurygame.CGPayment
centurygame.CGUnFetchedProduct
centurygame.CGProduct
centurygame.CGSubscriptProduct
ResultHandler
centurygame.IOS.CGAppleIapIOS
centurygame.Abstract.BasePaymentWrapper
<PrivateImplementationDetails>

关联类型（定义在 CenturyGame.GameFramework.dll 区域，由 IL2CPP 生成的 ifix 包装）： centurygame.CGPaymentError、CGPaymentDelegate、CGPaymentDelegateWrap、centurygame_CGPaymentWrap、centurygame_CGProductWrap、centurygame_CGSubscriptProductWrap、SDKEvent_SDKListProductEventWrap、SDKEvent_SDKListSubscriptProductEventWrap。

8.1.2 CGPayment 主要方法（init / pay / restore / query）

以下标识符来自 out_identifiers.txt（centurygame_CGPaymentWrap 及内部包装区域）：

CGPayment 内部原生桥方法名（out_identifiers.txt 连续区块，最直接的渠道证据）：

CGAppleIapIOS
PaymentServerApi
getOngoingSubscriptOrders
setNonConsumptionProductIds
CompleteUnFinishPay
GetAdyenSupportCurrencyList
ObtainProductDetailsWithCurrency
GetThroughCargoWithProviderOrderId
com_sdk_payment_appleiap_setDelegate
com_sdk_payment_appleiap_canMakePurchases
com_sdk_payment_appleiap_startHelperWithProductIDs
com_sdk_payment_appleiap_buy
com_sdk_payment_appleiap_buy_with_serverId
com_sdk_payment_server_buy
com_sdk_payment_getOngoingSubscriptOrders
com_sdk_payment_completeunfinishpay
com_sdk_payment_getThroughCargo
com_sdk_payment_fetchStoreCountryCode
com_sdk_payment_enableOfferCodeOrderHandling
com_sdk_payment_isInAppOfferCodeRedemptionSupported
com_sdk_payment_presentOfferCodeRedemptionUI
com_sdk_payment_setOfferCodeThroughCargoForOngoingPurchases
BasePaymentWrapper

8.1.3 回调委托 CGPaymentDelegate

out_identifiers.txt 中 CGPaymentDelegate 的成员（含 *Event 的 UnityEvent 版本）：

字段：products、productId、throughCargo、orderId、countryCode。

8.1.4 商品对象 CGProduct / CGSubscriptProduct

centurygame_CGProductWrap 暴露：

CGSubscriptProduct 额外含 <productId>k__BackingField、<createTs>k__BackingField（订阅创建时间）。

8.1.5 支付错误对象 CGPaymentError

centurygame_CGPaymentErrorWrap 字段（out_literals.txt 同步可见 ErrorProductId / ErrorProviderOrderId / ErrorNotMatchUid / ErrorOriginalResponse、not_match_uid）：

以及 LogPayment / LogPayment productId is null 日志点。

8.1.6 StoreKit 证据

• out_types.txt、out_identifiers.txt、out_literals.txt 中 检索不到 StoreKit、SKPayment、SKProduct、SKMutablePayment、SKPaymentQueue 等符号。
• 只有 centurygame.IOS.CGAppleIapIOS 与 com_sdk_payment_appleiap_* 桥接名，以及日志 CGAppleIapIOSCommon called. iosDelegate = / CGAppleIapIOSCommon failed: {0}.。

8.1.7 Lua 侧 SDK 桥与事件

Lua 侧还出现 pay.PayCtrl、PayCtrl、PayRead、GiftCtrl、GiftRead、payment_config、TraceData_Pay 等业务层符号。

8.1.8 支付错误码（Lua 内置，CGError*）

从 lua_strings_32.txt 完整抽取（这是客户端支付错误文案/码的权威集合）：

8.2 充值配置与模块（Lua 侧）#

8.2.1 内购相关配置表（config_tables.txt / game_config_default_*）

config_tables.txt 收录 1,599 个表名（抽取窗口 ~40 字符，长名被截断）。内购/礼包/商店相关表如下（原样引用）：

lua_strings_32.txt 直接出现 payment_config（支付配置表，运行时由 GConfig 读取）。

8.2.2 内购模块族枚举（≥20 族）

下表由 ui_views.txt（6,976 项）+ lua_strings_32.txt + tokens.txt 交叉确认（模块路径前缀亦可见于 ui_views.txt，如 game_module_ui_item_firstrecharge_FirstRechargePanel、game_module_logic_module_continuousrecharge_ContinuousRechargeCtrl、game_module_logic_module_welfare_MonthCardCtrl）：

8.2.3 关键数据结构（协议 schema，含中文注释）

从 lua_strings_32.txt 抽取到的充值/礼包相关字段定义（原样）：

payment_id            4 : integer
ori_price             11 : integer
cur_order             4 : integer
total_recharge_diamond  4 : integer          # 累计充值钻石
total_recharge_times    3 : integer
first_recharge_award    2 : *boolean          # 首充奖励情况
first_recharge_ts       2 : integer           # 首充时间
total_recharge_amount   0 : integer(0)        # 累计充值金额（美[元]）
recharge_amount         ? : integer           # 首充金额（nil 设为非首…）
buy_gift_mark           6 : *mark()           # 购买标记, key=or…
conf_map                0 : *gift_config
card_info               0 : month_card         # 月卡数据
cardList                0 : *month_card       # 月卡列表
data                    0 : recharge_data
gift_order              ? : …
recharge_idx            ? : …
ori_diamonds_price      ? : …
index                   1 : integer           # 档位，对应配置表 index

充值商店配置注释：index 1: integer # 物品组在 recharge_shop_item 表中的下标；cost_currency（recharge_shop_conf 的消耗货币字段）。

代币/代金券礼包配置（pay_id 维度）：Parent _giftPrice _giftPayId TxtTokenPrice GetResIcon ImgToken pay_id pay_type num name。

8.3 服务端 / 协议流程#

8.3.1 相关 opcode（来自 protocol_ops.txt + lua_strings_32.txt 中文注释）

其他相关：notify_recharge_new_token_success、notify_recharge_shop_update_integral、REQ_FIVEDAYS_RECHARGE_*、notify_fes_bp_purchase(11683)、notify_fes_bp_dailytask_purchase(13782)、notify_fishing_bp_purchase(13482)、notify_back_bp_purchase(15212)、notify_frozen_soil_purchase(13232)、notify_lost_treasure_purchase(12912)、_gift_by_diamond(12301, 钻石购买礼包)、req_super_vip_get_free_reward(13603)、req_vip_birthday_reward_push(13630)。

8.3.2 客户端 → 服务端 购买/校验流程（推断）

综合 CGPayment 回调链、Lua 事件与协议面，典型流程为：

[客户端]
  1. 玩家点击购买（PayCtrl:Buy / OnClickBuy）
  2. 客户端仅持有整数 payment_id / pay_id（来自 payment_config / 礼包配置）
  3. 向服务端请求“下单/取商品” ──► op 6701 notify_recharge_init / 充值初始化
                                     （PayRead:GetProductIds 取得 productId 列表）
  4. 服务端返回 productId + ServerId/orderId，客户端调 SDK：
        CGPayment.Buy(productId) / BuyWithServerId(productId, serverId)
        └─ iOS: com_sdk_payment_appleiap_buy[_with_serverId]（原生 StoreKit）
        └─ Android 国服: SetAndroidCnMediaPayOrderParam + CN Media 渠道支付
  5. 渠道回调 → OnPurchaseSuccessWithOrderId(orderId) / OnPurchaseError
        Lua 事件：SDK_PAY_BUY_SUCCESS / SDK_PAY_BUY_ERROR
[服务端]
  6. 客户端携带 purchaseDataJson / receipt 调 paymentServerApi
        └─ com_sdk_payment_getThroughCargo（以 providerOrderId 穿透发货）
  7. 服务端向渠道（Apple/Adyen/…）校验收据，比对 uid
        └─ 失败字段：ErrorNotMatchUid / ErrorOriginalResponse / ErrorProviderOrderId
  8. 发货 → notify_buy_diamond_success(6702) / notify_recharge_fail(6704)
        + notify_total_recharge_amount / notify_month_card_active / 各活动 notify_*
[补偿]
  checkOngoingSubscriptOrders / TryCompleteUnPayOrder / CompleteUnFinishPay
        （订阅恢复、掉单补发）

8.4 商品 / SKU / 价格证据#

8.4.1 是否存在硬编码 Product ID？

• out_literals.txt / out_identifiers.txt 中没有任何 com.gof.china.* 形式的商品 SKU；com.gof.china 只作为 GlobalDefine 的包名出现（与 OpenAppStore、SDKHelper 同区）。
• 唯一与商品相关的字符串是运行时字段与错误：productId、product_id、ProductId、`productId must not be empty.、LogPayment productId is null`。
• 配置层以整数 payment_id（payment_id 4 : integer）与 pay_id / pay_type 索引，而非字符串 SKU。

8.4.2 价格 / 档位方案

首充/月卡中文文案证据：首充（10 处）、月卡（16 处）、礼包（285 处）、档位（40 处）、充值（76 处）、代金券（3 处）、钻石（162 处）、订单（9 处）、支付（24 处）。例如： - 首充：_name}</color>通过首充豪礼，获得传说级英雄…、完成首充后开启、首充奖励 - 月卡：已购买的周卡/月卡奖励、超值月卡优惠券（%{num1}）、情报月卡-充值奖励、月卡奖励可在… - 代金券：req_recharge_by_voucher 6707 { # 代金券充值、…档位的礼包时，可消耗该代金券进行全额抵扣。

8.4.3 币种 / 本地化价格

• GetSupportCurrencyList / GetAdyenSupportCurrencyList（CGPayment）
• GetPriceByCurrencyCode、GetPriceCurrencyCode、FormattedPrice（CGProduct）
• 字面量 GetPriceByCurrencyCode->Error:{0}、Currency2CultureDic、Currency2CultureListDic、CurrencyHelper、InitCurrencyCodeToCulture

8.4.4 渠道/账号类型（FPAccountType*）

out_identifiers.txt 中支付相关账号类型：FPAccountTypeApple、FPAccountTypeAlipay、FPAccountTypeCnMedia、CGAccountTypeUtils、AuthorizeVipMallUserBean。

ddCommon.json（应用级配置，部分值为可逆编码/加密 blob）：

App Store 链接（out_literals.txt）：apps.apple.com/cn/app/…/id6478492012；支付文档残留：官网链接：https://docs.open.alipay.com/。

8.5 商店 / 礼包 UI（ui_views.txt）#

顶部模块路径证据（ui_views.txt 原样，证明模块归属）：

game_module_logic_module_continuousrecharge_ContinuousRechargeCtrl
game_module_logic_module_welfare_MonthCardCtrl
game_module_ui_item_firstrecharge_FirstRechargePanel
game_module_ui_item_gift_GiftBagFishingSinglePanel
game_module_ui_view_chat_ChatGifEmojiGiftPopupView

8.6 风险分析（内购专章）#

8.6.1 风险清单

8.6.2 攻击者视角（可做什么）

1. 协议重放/伪单：抓取 purchaseDataJson / orderId，若服务端对同一 providerOrderId 未做幂等或 uid 绑定校验，可重复提交（→ 依赖 ErrorNotMatchUid 的实际实现）。
2. 作弊接口越权：直接构造 …_cheat_recharge(1211) / req_cheat_add_total_recharge_diamond(14169) / …_cheat_set_bind_account(1265)，若缺少服务端权限判定，可凭空获得累充/首充权益（最高危）。
3. 假渠道回调：针对 CN Media / Alipay 回调，若未强校验渠道签名与商户号，可伪造“支付成功”。
4. 补单滥用：滥用 CompleteUnFinishPay / TryCompleteUnPayOrder / checkOngoingSubscriptOrders 触发重复发货。
5. 改价展示欺骗：本地改 FormattedPrice 仅影响 UI，无法直接获益（除非服务端信任客户端上报金额）。
6. 私服：既然商品 ID 由服务端下发且协议明文，搭建私服可自定义 payment_config 与发货逻辑，绕开官方计费。

8.6.3 加固建议（面向厂商）

• 收据校验全部服务端化：校验 Apple/渠道收据签名链、providerOrderId 唯一性、uid↔商品↔金额 四元绑定，落实 ErrorNotMatchUid 语义。
• req_cheat_* / req_beta_test_recharge 在生产环境禁用或强制 GM 白名单+审计。
• 客户端 payment_id 仅作索引，服务端按 ID 查表定价；永不信任客户端上报金额。
• CN Media/Alipay 回调强制渠道签名验签 + 商户号/应用号比对 + 时间戳防重放。
• 补单接口加幂等键（providerOrderId）与频率限制。
• WebShop 授权 token 使用服务端签发的一次性授权码，绑定 UID 与有效期。
• 对关键支付事件（6701/6702/6704/6705）做完整性校验与异常告警（数量、金额、UID 维度）。

8.7 附录：证据文件与关键符号对照#

09 · 玩法 / 系统架构分析（Gameplay / Systems Architecture）#

1. 模块架构：game_module_logic_module_* 家族#

1.1 命名规范

一套 game_module_<层>_<系统>_<子模块>_<类名> 的路径式命名，层级为内嵌 Lua 模块树：

game_module_logic_module_ 下共有 196 个顶层系统家族（按第 3 段去重）。

1.2 家族规模（token 数 Top，去截断后）

1.3 按系统分组（含代表类名与 moduleDefine）

逻辑代理层（game_module_logic_proxy_，共 7 组）：activity_ArsenalLeagueGuessProxy / MagicPotionProxy / MineWarProxy、fishing_FishingProxy、minewar_MineWarMapProxy、pet_PetAdventureProxy、redpacket_RedPacketProxy、thanksgiving_ThanksgivingProxy、trianglewar_TriangleWarMapProxy —— 说明存在跨服/跨活动数据桥接的独立代理层。

2. 网络协议地图（protocol_ops.txt，2,635 条）#

消息名前缀规范：req_*（请求）/ notify_*（服务端推送）/ 少量 res_*、ack_*、rsp_*、push_*、sync_*。操作码（opcode）分布于多个区间段（如 1xxx 基础、5xxx 联盟/世界、9xxx–1xxxx 活动/王城、2xxxx–3xxxx 新版运营）。

方向统计（受定长截断影响，为可见值）：req_* ≈ 1,083，notify_* ≈ 514，其余为前缀被截断条目。

2.1 域统计表（关键词匹配；跨域可能重叠）