@@ -0,0 +1,625 @@
# R0Guard 项目完整总结报告
> 版本：**1.0.39** | 平台：**Windows x64** | 目标游戏：**CS:GO / CS2**
> 文档基于当前代码库完整梳理，涵盖客户端、注入 DLL、AI 图片检测服务、主服务端四大模块。
---
## 一、项目概述
**R0Guard ** 是一套面向 CS:GO / CS2 的**完整反作弊系统**，由以下部分组成：
| 模块 | 技术栈 | 角色 |
| -------------- | ---------------------------- | -------------------------------------------------- |
| **injector/ ** | C++17 / Win32 | 主客户端（`R0Guard.exe` ），负责注入、监控、云端通信、远程控制台 |
| **dll/ ** | C++17 / MinHook / ImGui | 游戏内检测 DLL（ `R0GuardDll64.dll` / `R0GuardDll32.dll` ）
| **ai-service/ ** | 独立部署（Python/Node 等） | **AI 图片检测服务 ** ：接收客户端截图，识别作弊 UI/外挂界面，将检测结果事件上报主服务端 |
| **server/ ** | Node.js + MySQL + Redis | **主服务端 ** ：认证、事件入库、黑白名单、自动封禁、客户端端口/控制台地址记录 |
| **common/ ** | 共享头文件 | 协议、日志、加密、工具库 |
| **resources/ ** | 证书、Dashboard HTML、RSA 密钥 | 运行时资源 |
系统采用 **DLL 注入 + 进程内扫描 + 截图 AI 识别 + 云端上报 + FRP 远程管控 ** 的架构。客户端定时截图先上传至 **AI 图片检测服务 ** 做视觉分析，AI 服务再将检测事件转发至 **主服务端 ** 统一入库与处置；心跳、进程内检测等直连主服务端；**远程控制台**由客户端本地 HTTP 服务 + **frpc 内网穿透 ** 映射到公网供管理员访问。通信支持 mTLS 双向认证、RSA/AES 加密，并可选 VMProtect 代码加固。
---
## 二、系统架构
``` mermaid
flowchart TB
subgraph Client["客户端 (R0Guard.exe)"]
HTTPSrv["本地 HTTP 服务\n127.0.0.1:54425\n(Dashboard + API)"]
FRPC["frpc 客户端\n(resources/frpc.exe)"]
TCP["TCP Client\n(mTLS → 主服务端)"]
Monitors["系统监控\n进程/磁盘/USB/杀软"]
Screenshots["多引擎截图\n(ScreenshotManager)"]
Injector["DLL 注入器"]
Protector["进程 DACL 保护"]
end
subgraph Game["游戏进程 (cs2.exe / csgo.exe)"]
DLL["R0GuardDll\n6 类检测 + Overlay"]
end
subgraph AI["AI 图片检测服务"]
AIIngest["截图接收 API"]
AIEngine["视觉模型推理\n(外挂菜单/UI/Overlay 识别)"]
AIEvent["事件组装与上报"]
end
subgraph FRP["FRP 服务端 (frps)"]
FRPS["公网入口\n域名:端口"]
end
subgraph Server["主服务端 (Node.js)"]
TCPSrv["TCP Server\n:9443"]
API["REST API\n:3000"]
EventProc["事件处理\n黑白名单 / 自动封禁"]
DB[(MySQL\nr0guard_anticheat)]
Redis[(Redis)]
Platform[(平台库 arena)]
end
Browser["浏览器 / 平台管理员"]
Injector -->|命名管道| DLL
Screenshots -->|HTTPS 上传截图| AIIngest
AIIngest --> AIEngine
AIEngine --> AIEvent
AIEvent -->|检测事件 HTTP| EventProc
Client -->|心跳 / 进程内检测| TCPSrv
TCPSrv --> EventProc
EventProc --> DB
TCPSrv --> Redis
HTTPSrv -->|本地反向代理| FRPC
FRPC -->|内网穿透| FRPS
Browser -->|HTTPS 访问映射地址| FRPS
FRPS --> FRPC
FRPC --> HTTPSrv
Client -->|上报 FRP 远程地址 / 本地端口| API
API --> Platform
```
### 数据流分工
| 数据类型 | 路径 | 说明 |
|---------|------|------|
| **定时反作弊截图 ** | 客户端 → AI 图片检测服务 → 主服务端 | AI 服务完成视觉分析后，以结构化事件（如 `ai_screenshot_detection` ）上报主服务端 |
| **进程内检测事件 ** | 客户端 → 主服务端 (mTLS TCP) | DLL 注入、Hook、CRC 等 6 类检测 |
| **心跳 / 认证 / 白名单 ** | 客户端 → 主服务端 (mTLS TCP) | 会话维持、在线状态、黑白名单同步 |
| **远程控制台 ** | 浏览器 → FRP 公网入口 → frpc → 客户端本地 HTTP | Dashboard、FLV 直播、按需截图预览等，经 **frp 映射 ** 访问 `127.0.0.1:54425` |
| **控制台地址登记 ** | 客户端 → 主服务端 REST API | 登录后上报 FRP 映射后的远程 URL 或本地端口（`upload_client_port` ），供平台查询 |
| **进程/磁盘/USB 等监控 ** | 客户端 → 主服务端 | 系统级行为事件 |
### 截图 → AI → 主服务端 流程
```
ScreenshotManager 定时截图 (GDI/DXGI/DWM/...)
↓
客户端上传截图 + 元数据 (uid, steam_id, 截图类型, 时间戳, 机器码)
↓
AI 图片检测服务
├─ 接收并暂存/落盘截图
├─ 调用视觉模型推理 (外挂菜单、透视 UI、自瞄界面等)
├─ 输出置信度、标签、可疑区域等
└─ 组装检测事件
↓
主服务端
├─ 写入 ac_events / ac_screenshots
├─ 查黑白名单 → 自动封禁
└─ 供控制台 / 平台系统查询
```
**关键设计： **
- 客户端在本地启动 **HTTP 服务 ** （默认 `127.0.0.1:54425` ，占用时回退动态端口），承载 Dashboard 及全部 `/api/dashboard/*` 路由。
- 随附 **frpc.exe ** （FRP 客户端），将本地 HTTP 端口映射到 **FRP 服务端（frps） ** 的公网域名/端口，实现远程访问。
- 客户端登录后通过 REST API（ `upload_client_port` ）将 **FRP 映射后的远程访问地址 ** 或本地端口上报云端，平台系统据此拼接控制台入口 URL。
- GSI 游戏状态仍走本地 HTTP 的 `/api/gamestate` （
- **AI 图片检测服务独立部署**；定时反作弊截图走 AI 链路，控制台按需预览截图在客户端本地 HTTP 直接响应。
- 远程控制台访问路径：**浏览器 → FRP 公网入口 → frpc → 本地 HTTP**，不经过主服务端转发。
---
## 三、项目目录结构
```
R0Guard/
├── CMakeLists.txt # 主构建配置 (v1.0.39)
├── build.ps1 / build.bat # 构建脚本
├── build_all_protected.bat # VMProtect 加固构建
├── protect.bat # 保护脚本
│
├── common/ # 公共库
│ ├── protocol.h # 命名管道 / 共享内存协议
│ ├── logger.h # 日志（可编译期剥离）
│ ├── secure_string.h # 安全字符串
│ ├── vmprotect_sdk.h # VMProtect 标记宏
│ ├── httplib.h # 嵌入式 HTTP 库
│ ├── utils.h / vdf_parser.hpp
│ └── json/ # JSON 解析
│
├── injector/ # 主程序 (~40 个源文件)
│ ├── main.cpp # 入口：GUI 托盘 + 服务初始化
│ ├── http_server.cpp # 本地 HTTP 服务 + ~93 条 Dashboard/API 路由
│ ├── tcp_client.cpp # mTLS TCP 通信
│ ├── anticheat_api.cpp # 反作弊 API 封装
│ ├── cloud_api.cpp # 云端 REST API (RSA 加密)
│ ├── game_launcher.cpp # CS2/CSGO 启动
│ ├── steam_helper.cpp # Steam 集成
│ ├── steam_worker.cpp # 独立 Steam 信息进程
│ ├── screenshot_manager.cpp # 定时多引擎截图
│ ├── live_stream.cpp # FLV H.264 直播
│ ├── process_monitor.cpp # 进程启动/退出监控
│ ├── process_protector.cpp # 游戏进程 DACL 保护
│ ├── disk_monitor.cpp # 磁盘/下载记录监控
│ ├── drive_monitor.cpp # USB 驱动器插拔监控
│ ├── antivirus_detector.cpp # 杀毒软件检测
│ ├── file_detector.cpp # 文件特征检测
│ ├── network_test.cpp # 网络诊断工具集
│ ├── dashboard_handler.cpp # 远程控制台
│ ├── crash_handler.cpp # 崩溃转储
│ ├── update_service.cpp # 自动更新
│ ├── startup_manager.cpp # 单实例/自启/Defender 白名单
│ ├── tpm_machine_id.cpp # TPM 机器码
│ ├── pinned_dns.cpp # 写死 IP 直连 + 隐藏 SNI
│ └── self_module.cpp # 自身模块定位
│
├── dll/ # 游戏内检测 DLL
│ ├── detector.cpp # 主检测调度器
│ ├── module_detector.cpp # DLL 注入检测
│ ├── thread_detector.cpp # 远程线程检测
│ ├── hook_detector.cpp # 函数 Hook 检测
│ ├── memory_detector.cpp # 可疑内存检测
│ ├── crc_checker.cpp # 代码段 CRC 校验
│ ├── hardware_bp_detector.cpp# 硬件断点检测
│ ├── logo_overlay.cpp # D3D Overlay + ImGui
│ ├── video_player.cpp # 游戏内视频播放
│ ├── pipe_client.cpp # 与注入器通信
│ └── minhook/ # API Hook 库
│
├── ai-service/ # AI 图片检测服务（独立部署）
│ ├── 截图接收 API # 接收客户端上传的定时截图
│ ├── 视觉模型推理 # 外挂 UI / 菜单 / Overlay 识别
│ └── 事件上报客户端 # 将 AI 检测结果推送至主服务端
│
├── server/ # 主服务端 (Node.js)
│ ├── src/index.js # 入口
│ ├── src/socket/ # TCP + 协议 + 加密
│ ├── src/database/ # MySQL + Redis
│ └── docs/ # 服务端文档
│
├── resources/ # 运行时资源
│ ├── certs/ # TLS 证书 (ca.crt, client.pfx)
│ ├── dashboard.html # 远程控制台 Web UI
│ ├── frpc.exe # FRP 客户端（内网穿透，映射本地 HTTP 到公网）
│ └── rsa_keys.h # RSA 公钥
│
└── third_party/vmprotect/ # VMProtect SDK (可选)
```
---
## 四、核心功能详解
### 4.1 游戏内检测（DLL 模块）
注入到 `cs2.exe` （ `csgo.exe` （32 位）后，通过命名管道与主程序通信，执行 **6 类检测 ** ：
| # | 检测类型 | 事件名 | 说明 |
| --- | -------------- | --------------------- | ------------------------------------------------------------------- |
| 1 | **DLL 注入检测 ** | `dll_injection` | 监控新加载模块，验证数字签名，白名单机制（Microsoft、Valve、NVIDIA、AMD 等） |
| 2 | **远程线程检测 ** | `remote_thread` | 检测起始地址不在已知模块范围内的线程，识别 Shellcode / Manual Map |
| 3 | **函数 Hook 检测 ** | `function_hook` | 监控 kernel32、ntdll、user32、ws2_32 等关键 API，检测 JMP/PUSH+RET/MOV+JMP 等模式 |
| 4 | **代码段 CRC 校验 ** | `crc_mismatch` | 定期校验 client.dll、engine.dll 等核心模块 `.text` 段 CRC32 |
| 5 | **可疑内存检测 ** | `suspicious_memory` | 扫描 PAGE_EXECUTE_READWRITE 等可疑内存属性，识别注入代码 |
| 6 | **硬件断点检测 ** | `hardware_breakpoint` | 检查所有线程 DR0–DR3 调试寄存器 |
**附加能力： **
- **Logo Overlay**： （ ） （ ）
- **死亡状态共享内存**：与 GSI 联动显示死亡图标
- **机器码显示**：左上角显示 TPM 机器码
### 4.2 客户端主程序（injector）
#### A. 游戏与 Steam 集成
| 功能 | 说明 |
| ----------- | ------------------------------------- |
| CS2/CSGO 启动 | 支持启动参数、Steam 路径配置 |
| Steam 账号管理 | 获取/切换 Steam 账号、Steam ID |
| GSI 游戏状态 | 接收 CS2 Game State Integration POST 数据 |
| 游戏内命令 | 向游戏发送控制台命令 |
| 游戏版本检测 | 读取已安装游戏版本 |
#### B. 系统监控与上报
| 模块 | 功能 |
| --------------------- | --------------------------------------------------- |
| **ProcessMonitor ** | 监控全系统进程启动/退出，过滤系统白名单进程后上报 |
| **ProcessProtector ** | 对 CS2/CSGO 进程写入 DACL「拒绝访问」ACE，阻止外部 OpenProcess 读写内存 |
| **DiskMonitor ** | 监控文件系统变化，读取 Chrome/Edge/Firefox/迅雷/IDM 等下载记录 |
| **DriveMonitor ** | 监控 USB 等可移动驱动器插拔 |
| **AntivirusDetector ** | 检测已安装杀毒软件 |
| **FileDetector ** | 扫描文件特征：易语言、VMProtect、SProtect、远程注入/Hook API 等 |
#### C. 截图与直播
支持 **7 种截图引擎 ** ，可定时错开执行：
| 引擎 | 技术 |
| ---------- | --------------- |
| GDI | 基础屏幕截图 |
| DXGI | DirectX 桌面复制 |
| DWM | 注入 dwm.exe 截图 |
| Magnifier | Windows 放大镜 API |
| NVIDIA GPU | GPU 帧缓冲截取 |
| AMD GPU | GPU 帧缓冲截取 |
- 定时截图上传 **AI 图片检测服务 ** （默认 6 分钟间隔，各类型错开 30 秒）；AI 服务完成推理后将检测事件上报主服务端，不在客户端或主服务端本地做模型推理
- **FLV H.264 直播流**：
#### D. 远程控制台（Dashboard + FRP）
远程控制台采用 **本地 HTTP + FRP 内网穿透 ** 方案：
1. `R0Guard.exe` 在本地监听 HTTP（默认 `127.0.0.1:54425` ），提供 Dashboard 页面及约 **93 条 API 路由 ** 。
2. 随附的 **frpc.exe ** 读取 FRP 配置，将本地端口映射到 **frps 服务端 ** 分配的公网域名/端口。
3. 客户端登录后将映射地址上报云端；平台管理员通过 **FRP 公网 URL ** 远程打开该用户的控制台。
| 分类 | 功能 |
| ------------ | ------------------------------------ |
| **系统信息 ** | CPU/内存/磁盘/网络状态 |
| **进程管理 ** | 列出/终止进程、DLL 注入记录 |
| **截图预览 ** | 7 种引擎实时截图 |
| **FLV 直播 ** | 实时屏幕直播 + 统计 |
| **文件管理 ** | 浏览/读/写/上传/下载/删除/重命名/建目录 |
| **文件检测 ** | 单文件/批量特征扫描 |
| **检测记录 ** | 查看/清除本地检测日志 |
| **网络诊断 ** | Ping、TCPing、测速、Traceroute、DNS、RealIP |
| **磁盘/注册表测试 ** | 磁盘读写、注册表访问测试 |
| **日志查看 ** | 内存日志浏览与清除 |
**FRP 访问链路： **
```
管理员浏览器
→ https://<frp-分配域名>:<端口>/dashboard
→ frps (FRP 服务端)
→ frpc (客户端内运行)
→ 127.0.0.1:54425 (R0Guard 本地 HTTP)
→ dashboard.html / API 响应 (含 FLV 流式)
```
> 安全说明：任意命令执行接口已永久移除。控制台经 FRP 暴露到公网，需配合 FRP 鉴权 token、HTTPS 及平台侧访问控制使用。
#### E. 云端通信
| 通道 | 协议 | 用途 |
|------|------|------|
| **TCP Socket → 主服务端 ** | mTLS (双向证书) + RSA/AES-GCM | 认证、心跳、进程内检测上报 |
| **HTTPS → AI 图片检测服务 ** | HTTPS (+ 可选 mTLS) | **定时反作弊截图上传 ** |
| **HTTPS → 主服务端 ** | HTTPS / 内网 API Key | AI 服务上报检测事件；客户端上报 FRP 远程地址/本地端口 |
| **REST API → 主服务端 ** | HTTPS + RSA 分段加密 | 机器 Token、Steam Token、`upload_client_port` 、硬件信息采集 |
| **HTTP 本地服务 ** | `127.0.0.1:54425` | Dashboard、控制台 API、GSI 接收 |
| **FRP 穿透 ** | frpc → frps | 将本地 HTTP 映射到公网，供远程访问控制台 |
**TCP 消息类型（客户端 ↔ 主服务端）： **
| 类型 | 方向 | 描述 |
|------|------|------|
| 0x4000/0x4001 | C↔S | 认证请求/响应 |
| 0x1000 | C→S | 心跳 |
| 0x1001 | C→S | 检测报告（进程内 6 类检测） |
| 0x1002 | C→S | 模块加载 |
| 0x4007/0x4008 | C↔S | 白名单请求/响应 |
| 0x2000/0x2001 | S→C | 初始化/开始扫描 |
> 说明：控制台经 FRP 直接访问客户端本地 HTTP；定时截图上传 AI 图片检测服务，AI 分析完成后以 REST API 向主服务端写入事件与截图索引。
#### F. 客户端基础设施
| 功能 | 说明 |
| ------------ | ------------------------------- |
| 本地 HTTP 服务 | 默认 `127.0.0.1:54425` ，提供 Dashboard 与 API |
| FRP 内网穿透 | frpc 将本地 HTTP 映射到 frps 公网入口 |
| 端口/地址上报 | 登录后调用 `upload_client_port` 上报 FRP 远程 URL |
| 单实例锁 | Mutex 防止重复运行 |
| 开机自启 | 计划任务（无 UAC 弹窗） |
| URL 协议 | `r0guard://` 协议注册 |
| Defender 白名单 | 自动添加程序目录 |
| 防节流 | PowerRequest 防止 Windows 降低后台优先级 |
| TPM 机器码 | 基于 TPM 的唯一硬件标识 |
| 崩溃转储 | MiniDump 生成与上报 |
| 自动更新 | 版本检测与下载 |
| Pinned DNS | 写死 IP 直连、隐藏 TLS SNI、无 DNS 查询 |
| 错误上报 | 全局异常捕获与云端上报 |
#### G. 网络诊断工具
内置完整网络测试套件（供 Dashboard 调用）：
- ICMP Ping / 流式 Ping
- TCPing
- HTTP 测速（含跳转链追踪）
- Traceroute
- DNS 查询
- RealIP 检测（含代理/VPN 识别）
- FindPing（最优节点探测）
---
### 4.3 AI 图片检测服务（ai-service/）
独立于主服务端部署的**视觉检测微服务**，专门处理客户端定时上传的游戏截图。
#### 职责
| 环节 | 说明 |
|------|------|
| **截图接收 ** | 提供 HTTPS 上传接口，接收客户端多引擎截图及元数据（uid、steam_id、截图类型、分辨率、时间戳） |
| **图像推理 ** | 调用视觉模型识别外挂菜单、透视 UI、自瞄面板、可疑 Overlay 等 |
| **结果输出 ** | 生成标签、置信度、可疑区域坐标（可选）及原始截图存储路径 |
| **事件上报 ** | 将结构化检测事件推送至主服务端 REST API，由主服务端统一入库与触发封禁 |
#### 典型事件字段（上报主服务端）
| 字段 | 说明 |
|------|------|
| `event_type` | 如 `ai_screenshot_detection` |
| `uid` / `steam_id` | 用户标识 |
| `screenshot_type` | gdi / dxgi / dwm / mag / nvidia / amd |
| `labels` | AI 识别标签列表 |
| `confidence` | 整体或各标签置信度 |
| `screenshot_url` / `screenshot_id` | 截图存储引用 |
| `model_version` | 模型版本，便于回溯 |
| `detected_at` | 检测时间 |
#### 与主服务端的关系
- AI 服务**不处理**用户认证、心跳、黑白名单、自动封禁——这些由主服务端负责。
- 主服务端收到 AI 事件后，与普通检测事件一样进入 `ac_events` / `ac_screenshots` ，执行黑白名单匹配与 `auto_ban` 逻辑。
- AI 服务可独立扩缩容（GPU 节点），不影响主服务端 TCP 连接与会话管理。
---
### 4.4 主服务端（server/）
#### 技术栈
- **Runtime**: Node.js ≥ 18
- **数据库**: MySQL 5.7+（反作弊库 `r0guard_anticheat` + 平台库 `arena` ）
- **缓存**: Redis 6.0+
- **通信**: Express REST + mTLS TCP + Socket.IO
#### 监听端口
| 端口 | 用途 |
| -------- | ---------------------------- |
| **3000 ** | REST API、健康检查、静态文件、Socket.IO |
| **9443 ** | mTLS TCP（生产环境常用 20058）
> 控制台公网入口由 **FRP 服务端（frps）
#### 数据库表（反作弊库）
| 分类 | 表 | 用途 |
| --- | ------------------------------------------------- | ----------------- |
| 管理 | `ac_admins` , `ac_operation_logs` | 管理员、操作日志 |
| 会话 | `ac_sessions` , `ac_heartbeats` , `ac_machine_info` | 用户会话、心跳、机器信息 |
| 事件 | `ac_events` , `ac_screenshots` , `ac_uploads` | 检测事件（含 AI 截图检测 `ai_screenshot_detection` ）、截图索引、上传文件 |
| 检测 | `ac_cheat_features` | 作弊特征详细记录 |
| 黑名单 | `ac_hash/signer/path/feature_blacklist` | 哈希/签名者/路径/综合特征黑名单 |
| 白名单 | `ac_hash/signer/path/feature_whitelist` | 对应白名单 |
| 封禁 | `ac_ban_records` | 封禁记录 |
| 其他 | `ac_error_reports` | 客户端错误报告 |
#### 核心业务流程
```
客户端认证 → 写入 ac_sessions
↓
frpc 启动 → 映射本地 HTTP 到 FRP 公网地址 → 上报远程 URL (upload_client_port)
↓
心跳 (5s 间隔) → 更新在线状态
↓
进程内检测事件 (DLL/Hook/CRC 等) → 提取特征 → 查黑白名单
↓
定时截图 → AI 图片检测服务 → 视觉推理 → AI 检测事件上报主服务端
↓
主服务端入库 (ac_events / ac_screenshots) → 查黑白名单
↓
命中黑名单 + auto_ban=1 → 自动封禁 (调用平台 API)
```
#### 远程控制台
```
用户客户端
├─ R0Guard.exe 监听 127.0.0.1:54425 (Dashboard + API)
└─ frpc.exe 连接 frps，映射为 https://<子域名>.<frp域名>:<端口>
↓
平台管理员浏览器 → FRP 公网 URL → frps → frpc → 本地 HTTP
↓
dashboard.html / FLV 直播 / 截图预览 等直接由客户端响应
```
客户端登录后通过 `upload_client_port` 或平台 API 登记 **FRP 映射后的访问地址 ** ，供管理员从平台后台一键打开远程控制台。用户离线时 FRP 映射失效，控制台不可访问。
---
## 五、安全与加固
### 5.1 编译期安全
| 机制 | 说明 |
| ----------------- | ---------------------------------- |
| **VMProtect SDK ** | 可选代码虚拟化/变异 + 字符串加密 (`R0VMP_STR_A` ) |
| **日志剥离 ** | `R0_STRIP_LOGS` 编译期消除所有日志字面量 |
| **路由哈希 ** | HTTP 路由以 FNV-1a 哈希存储，二进制无路由明文 |
| **Secure String ** | 敏感字符串编译期加密、运行期临时解密 |
### 5.2 通信安全
| 机制 | 说明 |
| ----------------- | ------------------------------ |
| **mTLS ** | 双向 TLS 证书认证 |
| **RSA + AES-GCM ** | 载荷加密 |
| **Pinned DNS ** | 写死 IP 直连、TLS 隐藏 SNI、不产生 DNS 查询 |
| **证书嵌入 ** | 客户端证书编译为 PE 资源，口令编译期加密 |
### 5.3 运行期安全
| 机制 | 说明 |
| ------------------ | ------------------------------ |
| **本地 HTTP + FRP ** | 控制台经 frpc 穿透到公网，需 FRP token 鉴权 |
| **Dashboard 登录 ** | Dashboard 页面自带登录校验，防止未授权访问 |
| **命令执行移除 ** | 任意 cmd 执行接口已永久删除 |
| **管理员权限 ** | UAC manifest 要求管理员（进程保护需要） |
| **进程 DACL 保护 ** | 阻止外部进程读写游戏内存 |
### 5.4 检测响应
| 严重级别 | 含义 |
| -------- | ------ |
| INFO | 信息性消息 |
| WARNING | 需要关注 |
| CRITICAL | 可能存在作弊 |
| FATAL | 几乎确定作弊 |
服务端支持基于 MD5/SHA256/CRC32/签名者/路径的**黑白名单**，命中黑名单且 `auto_ban=1` 时自动封禁。
---
## 六、构建与部署
### 6.1 客户端构建
**环境要求： ** Windows 10/11 x64、Visual Studio 2019+、CMake 3.15+
``` powershell
# 标准构建
. \ build . ps1
# 产物: build/bin/Release/R0Guard.exe, R0GuardDll64.dll, steam_worker.exe
# VMProtect 加固构建
cmake -DR0_USE_VMPROTECT = ON . .
. \ build_all_protected . bat
```
**产物清单： **
| 文件 | 说明 |
| ------------------ | ------------------ |
| `R0Guard.exe` | 主程序（GUI 托盘，需管理员） |
| `R0GuardDll64.dll` | CS2 检测 DLL (64 位) |
| `R0GuardDll32.dll` | CSGO 检测 DLL (32 位) |
| `steam_worker.exe` | Steam 信息辅助进程 |
### 6.2 AI 图片检测服务部署
AI 服务独立部署，需配置：
- 截图接收地址（客户端 `ScreenshotManager` 上传目标）
- 视觉模型路径或远程推理端点
- 主服务端事件上报 API 地址与鉴权密钥
- 截图存储目录或对象存储（OSS/S3 等）
``` bash
# 示例（具体命令依 ai-service 实现而定）
cd ai-service
cp env.sample .env # 配置 AI_SERVICE_PORT、MAIN_SERVER_URL、MODEL_PATH 等
# 安装依赖并启动 GPU 推理服务
```
### 6.3 主服务端部署
``` bash
cd server
cp env.sample .env # 配置数据库/Redis/证书
npm install
npm run generate-certs # 生成 TLS 证书
npm run db:init # 初始化数据库
npm start # 或 pm2 部署
npm run pm2:logrotate:setup # PM2 日志轮转
```
---
## 七、辅助程序与工具
| 组件 | 说明 |
| ------------------------------- | ----------------------------------------- |
| **steam_worker.exe ** | 独立进程安全获取 Steam 信息，避免主进程加载 steam_api64.dll |
| **resources/frpc.exe ** | FRP 客户端，将本地 HTTP 控制台映射到公网远程访问 |
| **ai-service/ ** | AI 图片检测服务，接收截图并上报检测事件至主服务端 |
| **updater/ ** | 已废弃，更新由 R0Installer.exe 处理 |
| **resources/dashboard.html ** | 远程控制台 Web UI |
| **server/scripts/ ** | 数据库迁移、证书轮换、事件清理等运维脚本 |
| * * .gitea/workflows/deploy.yml** | CI/CD 部署流水线 |
---
## 八、白名单签名者（内置信任）
Microsoft Corporation、Valve、NVIDIA Corporation、AMD、Intel Corporation、Realtek、Logitech、Razer、Corsair、SteelSeries 等。
---
## 九、相关文档索引
| 文档 | 路径 | 内容 |
| ---------- | --------------------------------------- | ------------------- |
| 项目 README | `README.md` | 基础介绍与编译说明 |
| 检测系统 | `server/docs/detection-system.md` | 6 类检测字段与黑名单策略 |
| 数据库表结构 | `server/docs/database-tables.md` | 全部 AC 数据库表 |
| 服务端 README | `server/README.md` | 安装部署与 API |
---
## 十、总结
R0Guard 是一个**功能完整的 CS:GO/CS2 反作弊平台**，涵盖：
1. **6 类游戏内检测 ** （DLL 注入、远程线程、Hook、CRC、可疑内存、硬件断点）
2. **7 种截图引擎 + AI 图片检测 + FLV 直播 **
3. **截图 → AI 服务 → 主服务端 ** 三段式视觉检测链路
4. **全系统监控 ** （进程、磁盘、USB、杀软、文件特征）
5. **游戏进程 R3 层 DACL 保护 **
6. **mTLS 加密云端通信 + FRP 远程控制台 **
7. **完整远程控制台 ** （进程/文件/截图/直播/网络诊断，经 frp 映射访问）
8. **黑白名单 + 自动封禁 **
9. **多层安全加固 ** （
当前版本 **1.0.39 ** ，客户端采用 C++17，服务端采用 Node.js 18，面向 Windows x64 平台，需管理员权限运行。
