# R0Guard 项目完整总结报告

> 版本：**1.0.39** | 平台：**Windows x64** | 目标游戏：**CS:GO / CS2**  
> 文档基于当前代码库完整梳理，涵盖客户端、注入 DLL、AI 图片检测服务、主服务端四大模块。

---

## 一、项目概述

**R0Guard** 是一套面向 CS:GO / CS2 的**完整反作弊系统**，由以下部分组成：


| 模块             | 技术栈                          | 角色                                                 |
| -------------- | ---------------------------- | -------------------------------------------------- |
| **injector/**  | C++17 / Win32                | 主客户端（`R0Guard.exe`），负责注入、监控、云端通信、远程控制台             |
| **dll/**       | C++17 / MinHook / ImGui      | 游戏内检测 DLL（`R0GuardDll64.dll` / `R0GuardDll32.dll`） |
| **ai-service/** | 独立部署（Python/Node 等）     | **AI 图片检测服务**：接收客户端截图，识别作弊 UI/外挂界面，将检测结果事件上报主服务端 |
| **server/**    | Node.js + MySQL + Redis      | **主服务端**：认证、事件入库、黑白名单、自动封禁、客户端端口/控制台地址记录       |
| **common/**    | 共享头文件                        | 协议、日志、加密、工具库                                       |
| **resources/** | 证书、Dashboard HTML、RSA 密钥     | 运行时资源                                              |


系统采用 **DLL 注入 + 进程内扫描 + 截图 AI 识别 + 云端上报 + FRP 远程管控** 的架构。客户端定时截图先上传至 **AI 图片检测服务** 做视觉分析，AI 服务再将检测事件转发至 **主服务端** 统一入库与处置；心跳、进程内检测等直连主服务端；**远程控制台**由客户端本地 HTTP 服务 + **frpc 内网穿透** 映射到公网供管理员访问。通信支持 mTLS 双向认证、RSA/AES 加密，并可选 VMProtect 代码加固。

---

## 二、系统架构

```mermaid
flowchart TB
    subgraph Client["客户端 (R0Guard.exe)"]
        HTTPSrv["本地 HTTP 服务\n127.0.0.1:54425\n(Dashboard + API)"]
        FRPC["frpc 客户端\n(resources/frpc.exe)"]
        TCP["TCP Client\n(mTLS → 主服务端)"]
        Monitors["系统监控\n进程/磁盘/USB/杀软"]
        Screenshots["多引擎截图\n(ScreenshotManager)"]
        Injector["DLL 注入器"]
        Protector["进程 DACL 保护"]
    end

    subgraph Game["游戏进程 (cs2.exe / csgo.exe)"]
        DLL["R0GuardDll\n6 类检测 + Overlay"]
    end

    subgraph AI["AI 图片检测服务"]
        AIIngest["截图接收 API"]
        AIEngine["视觉模型推理\n(外挂菜单/UI/Overlay 识别)"]
        AIEvent["事件组装与上报"]
    end

    subgraph FRP["FRP 服务端 (frps)"]
        FRPS["公网入口\n域名:端口"]
    end

    subgraph Server["主服务端 (Node.js)"]
        TCPSrv["TCP Server\n:9443"]
        API["REST API\n:3000"]
        EventProc["事件处理\n黑白名单 / 自动封禁"]
        DB[(MySQL\nr0guard_anticheat)]
        Redis[(Redis)]
        Platform[(平台库 arena)]
    end

    Browser["浏览器 / 平台管理员"]

    Injector -->|命名管道| DLL
    Screenshots -->|HTTPS 上传截图| AIIngest
    AIIngest --> AIEngine
    AIEngine --> AIEvent
    AIEvent -->|检测事件 HTTP| EventProc
    Client -->|心跳 / 进程内检测| TCPSrv
    TCPSrv --> EventProc
    EventProc --> DB
    TCPSrv --> Redis
    HTTPSrv -->|本地反向代理| FRPC
    FRPC -->|内网穿透| FRPS
    Browser -->|HTTPS 访问映射地址| FRPS
    FRPS --> FRPC
    FRPC --> HTTPSrv
    Client -->|上报 FRP 远程地址 / 本地端口| API
    API --> Platform
```

### 数据流分工

| 数据类型 | 路径 | 说明 |
|---------|------|------|
| **定时反作弊截图** | 客户端 → AI 图片检测服务 → 主服务端 | AI 服务完成视觉分析后，以结构化事件（如 `ai_screenshot_detection`）上报主服务端 |
| **进程内检测事件** | 客户端 → 主服务端 (mTLS TCP) | DLL 注入、Hook、CRC 等 6 类检测 |
| **心跳 / 认证 / 白名单** | 客户端 → 主服务端 (mTLS TCP) | 会话维持、在线状态、黑白名单同步 |
| **远程控制台** | 浏览器 → FRP 公网入口 → frpc → 客户端本地 HTTP | Dashboard、FLV 直播、按需截图预览等，经 **frp 映射** 访问 `127.0.0.1:54425` |
| **控制台地址登记** | 客户端 → 主服务端 REST API | 登录后上报 FRP 映射后的远程 URL 或本地端口（`upload_client_port`），供平台查询 |
| **进程/磁盘/USB 等监控** | 客户端 → 主服务端 | 系统级行为事件 |

### 截图 → AI → 主服务端 流程

```
ScreenshotManager 定时截图 (GDI/DXGI/DWM/...)
    ↓
客户端上传截图 + 元数据 (uid, steam_id, 截图类型, 时间戳, 机器码)
    ↓
AI 图片检测服务
    ├─ 接收并暂存/落盘截图
    ├─ 调用视觉模型推理 (外挂菜单、透视 UI、自瞄界面等)
    ├─ 输出置信度、标签、可疑区域等
    └─ 组装检测事件
    ↓
主服务端
    ├─ 写入 ac_events / ac_screenshots
    ├─ 查黑白名单 → 自动封禁
    └─ 供控制台 / 平台系统查询
```

**关键设计：**

- 客户端在本地启动 **HTTP 服务**（默认 `127.0.0.1:54425`，占用时回退动态端口），承载 Dashboard 及全部 `/api/dashboard/*` 路由。
- 随附 **frpc.exe**（FRP 客户端），将本地 HTTP 端口映射到 **FRP 服务端（frps）** 的公网域名/端口，实现远程访问。
- 客户端登录后通过 REST API（`upload_client_port`）将 **FRP 映射后的远程访问地址** 或本地端口上报云端，平台系统据此拼接控制台入口 URL。
- GSI 游戏状态仍走本地 HTTP 的 `/api/gamestate`（CS2 本机 POST）。
- **AI 图片检测服务独立部署**；定时反作弊截图走 AI 链路，控制台按需预览截图在客户端本地 HTTP 直接响应。
- 远程控制台访问路径：**浏览器 → FRP 公网入口 → frpc → 本地 HTTP**，不经过主服务端转发。

---

## 三、项目目录结构

```
R0Guard/
├── CMakeLists.txt              # 主构建配置 (v1.0.39)
├── build.ps1 / build.bat       # 构建脚本
├── build_all_protected.bat     # VMProtect 加固构建
├── protect.bat                 # 保护脚本
│
├── common/                     # 公共库
│   ├── protocol.h              # 命名管道 / 共享内存协议
│   ├── logger.h                # 日志（可编译期剥离）
│   ├── secure_string.h         # 安全字符串
│   ├── vmprotect_sdk.h         # VMProtect 标记宏
│   ├── httplib.h               # 嵌入式 HTTP 库
│   ├── utils.h / vdf_parser.hpp
│   └── json/                   # JSON 解析
│
├── injector/                   # 主程序 (~40 个源文件)
│   ├── main.cpp                # 入口：GUI 托盘 + 服务初始化
│   ├── http_server.cpp         # 本地 HTTP 服务 + ~93 条 Dashboard/API 路由
│   ├── tcp_client.cpp          # mTLS TCP 通信
│   ├── anticheat_api.cpp       # 反作弊 API 封装
│   ├── cloud_api.cpp           # 云端 REST API (RSA 加密)
│   ├── game_launcher.cpp       # CS2/CSGO 启动
│   ├── steam_helper.cpp        # Steam 集成
│   ├── steam_worker.cpp        # 独立 Steam 信息进程
│   ├── screenshot_manager.cpp  # 定时多引擎截图
│   ├── live_stream.cpp         # FLV H.264 直播
│   ├── process_monitor.cpp     # 进程启动/退出监控
│   ├── process_protector.cpp   # 游戏进程 DACL 保护
│   ├── disk_monitor.cpp        # 磁盘/下载记录监控
│   ├── drive_monitor.cpp       # USB 驱动器插拔监控
│   ├── antivirus_detector.cpp  # 杀毒软件检测
│   ├── file_detector.cpp       # 文件特征检测
│   ├── network_test.cpp        # 网络诊断工具集
│   ├── dashboard_handler.cpp   # 远程控制台
│   ├── crash_handler.cpp       # 崩溃转储
│   ├── update_service.cpp      # 自动更新
│   ├── startup_manager.cpp     # 单实例/自启/Defender 白名单
│   ├── tpm_machine_id.cpp      # TPM 机器码
│   ├── pinned_dns.cpp          # 写死 IP 直连 + 隐藏 SNI
│   └── self_module.cpp         # 自身模块定位
│
├── dll/                        # 游戏内检测 DLL
│   ├── detector.cpp            # 主检测调度器
│   ├── module_detector.cpp     # DLL 注入检测
│   ├── thread_detector.cpp     # 远程线程检测
│   ├── hook_detector.cpp       # 函数 Hook 检测
│   ├── memory_detector.cpp     # 可疑内存检测
│   ├── crc_checker.cpp         # 代码段 CRC 校验
│   ├── hardware_bp_detector.cpp# 硬件断点检测
│   ├── logo_overlay.cpp        # D3D Overlay + ImGui
│   ├── video_player.cpp        # 游戏内视频播放
│   ├── pipe_client.cpp         # 与注入器通信
│   └── minhook/                # API Hook 库
│
├── ai-service/                 # AI 图片检测服务（独立部署）
│   ├── 截图接收 API              # 接收客户端上传的定时截图
│   ├── 视觉模型推理              # 外挂 UI / 菜单 / Overlay 识别
│   └── 事件上报客户端            # 将 AI 检测结果推送至主服务端
│
├── server/                     # 主服务端 (Node.js)
│   ├── src/index.js            # 入口
│   ├── src/socket/             # TCP + 协议 + 加密
│   ├── src/database/           # MySQL + Redis
│   └── docs/                   # 服务端文档
│
├── resources/                  # 运行时资源
│   ├── certs/                  # TLS 证书 (ca.crt, client.pfx)
│   ├── dashboard.html          # 远程控制台 Web UI
│   ├── frpc.exe                # FRP 客户端（内网穿透，映射本地 HTTP 到公网）
│   └── rsa_keys.h              # RSA 公钥
│
└── third_party/vmprotect/      # VMProtect SDK (可选)
```

---

## 四、核心功能详解

### 4.1 游戏内检测（DLL 模块）

注入到 `cs2.exe`（64 位）或 `csgo.exe`（32 位）后，通过命名管道与主程序通信，执行 **6 类检测**：


| #   | 检测类型           | 事件名                   | 说明                                                                  |
| --- | -------------- | --------------------- | ------------------------------------------------------------------- |
| 1   | **DLL 注入检测**   | `dll_injection`       | 监控新加载模块，验证数字签名，白名单机制（Microsoft、Valve、NVIDIA、AMD 等）                  |
| 2   | **远程线程检测**     | `remote_thread`       | 检测起始地址不在已知模块范围内的线程，识别 Shellcode / Manual Map                        |
| 3   | **函数 Hook 检测** | `function_hook`       | 监控 kernel32、ntdll、user32、ws2_32 等关键 API，检测 JMP/PUSH+RET/MOV+JMP 等模式 |
| 4   | **代码段 CRC 校验** | `crc_mismatch`        | 定期校验 client.dll、engine.dll 等核心模块 `.text` 段 CRC32                    |
| 5   | **可疑内存检测**     | `suspicious_memory`   | 扫描 PAGE_EXECUTE_READWRITE 等可疑内存属性，识别注入代码                            |
| 6   | **硬件断点检测**     | `hardware_breakpoint` | 检查所有线程 DR0–DR3 调试寄存器                                                |


**附加能力：**

- **Logo Overlay**：D3D9（CSGO）/ D3D11（CS2）Hook + ImGui，游戏内播放 Logo/作弊提示/VIP 视频
- **死亡状态共享内存**：与 GSI 联动显示死亡图标
- **机器码显示**：左上角显示 TPM 机器码

### 4.2 客户端主程序（injector）

#### A. 游戏与 Steam 集成


| 功能          | 说明                                    |
| ----------- | ------------------------------------- |
| CS2/CSGO 启动 | 支持启动参数、Steam 路径配置                     |
| Steam 账号管理  | 获取/切换 Steam 账号、Steam ID               |
| GSI 游戏状态    | 接收 CS2 Game State Integration POST 数据 |
| 游戏内命令       | 向游戏发送控制台命令                            |
| 游戏版本检测      | 读取已安装游戏版本                             |


#### B. 系统监控与上报


| 模块                    | 功能                                                  |
| --------------------- | --------------------------------------------------- |
| **ProcessMonitor**    | 监控全系统进程启动/退出，过滤系统白名单进程后上报                           |
| **ProcessProtector**  | 对 CS2/CSGO 进程写入 DACL「拒绝访问」ACE，阻止外部 OpenProcess 读写内存 |
| **DiskMonitor**       | 监控文件系统变化，读取 Chrome/Edge/Firefox/迅雷/IDM 等下载记录        |
| **DriveMonitor**      | 监控 USB 等可移动驱动器插拔                                    |
| **AntivirusDetector** | 检测已安装杀毒软件                                           |
| **FileDetector**      | 扫描文件特征：易语言、VMProtect、SProtect、远程注入/Hook API 等       |


#### C. 截图与直播

支持 **7 种截图引擎**，可定时错开执行：


| 引擎         | 技术              |
| ---------- | --------------- |
| GDI        | 基础屏幕截图          |
| DXGI       | DirectX 桌面复制    |
| DWM        | 注入 dwm.exe 截图   |
| Magnifier  | Windows 放大镜 API |
| NVIDIA GPU | GPU 帧缓冲截取       |
| AMD GPU    | GPU 帧缓冲截取       |


- 定时截图上传 **AI 图片检测服务**（默认 6 分钟间隔，各类型错开 30 秒）；AI 服务完成推理后将检测事件上报主服务端，不在客户端或主服务端本地做模型推理
- **FLV H.264 直播流**：Media Foundation 编码 + FLV 封装，经 FRP 映射后的远程 URL 推送（不经过 AI 服务）

#### D. 远程控制台（Dashboard + FRP）

远程控制台采用 **本地 HTTP + FRP 内网穿透** 方案：

1. `R0Guard.exe` 在本地监听 HTTP（默认 `127.0.0.1:54425`），提供 Dashboard 页面及约 **93 条 API 路由**。
2. 随附的 **frpc.exe** 读取 FRP 配置，将本地端口映射到 **frps 服务端** 分配的公网域名/端口。
3. 客户端登录后将映射地址上报云端；平台管理员通过 **FRP 公网 URL** 远程打开该用户的控制台。

| 分类           | 功能                                   |
| ------------ | ------------------------------------ |
| **系统信息**     | CPU/内存/磁盘/网络状态                       |
| **进程管理**     | 列出/终止进程、DLL 注入记录                     |
| **截图预览**     | 7 种引擎实时截图                            |
| **FLV 直播**   | 实时屏幕直播 + 统计                          |
| **文件管理**     | 浏览/读/写/上传/下载/删除/重命名/建目录              |
| **文件检测**     | 单文件/批量特征扫描                           |
| **检测记录**     | 查看/清除本地检测日志                          |
| **网络诊断**     | Ping、TCPing、测速、Traceroute、DNS、RealIP |
| **磁盘/注册表测试** | 磁盘读写、注册表访问测试                         |
| **日志查看**     | 内存日志浏览与清除                            |

**FRP 访问链路：**

```
管理员浏览器
    → https://<frp-分配域名>:<端口>/dashboard
    → frps (FRP 服务端)
    → frpc (客户端内运行)
    → 127.0.0.1:54425 (R0Guard 本地 HTTP)
    → dashboard.html / API 响应 (含 FLV 流式)
```

> 安全说明：任意命令执行接口已永久移除。控制台经 FRP 暴露到公网，需配合 FRP 鉴权 token、HTTPS 及平台侧访问控制使用。

#### E. 云端通信

| 通道 | 协议 | 用途 |
|------|------|------|
| **TCP Socket → 主服务端** | mTLS (双向证书) + RSA/AES-GCM | 认证、心跳、进程内检测上报 |
| **HTTPS → AI 图片检测服务** | HTTPS (+ 可选 mTLS) | **定时反作弊截图上传** |
| **HTTPS → 主服务端** | HTTPS / 内网 API Key | AI 服务上报检测事件；客户端上报 FRP 远程地址/本地端口 |
| **REST API → 主服务端** | HTTPS + RSA 分段加密 | 机器 Token、Steam Token、`upload_client_port`、硬件信息采集 |
| **HTTP 本地服务** | `127.0.0.1:54425` | Dashboard、控制台 API、GSI 接收 |
| **FRP 穿透** | frpc → frps | 将本地 HTTP 映射到公网，供远程访问控制台 |

**TCP 消息类型（客户端 ↔ 主服务端）：**

| 类型 | 方向 | 描述 |
|------|------|------|
| 0x4000/0x4001 | C↔S | 认证请求/响应 |
| 0x1000 | C→S | 心跳 |
| 0x1001 | C→S | 检测报告（进程内 6 类检测） |
| 0x1002 | C→S | 模块加载 |
| 0x4007/0x4008 | C↔S | 白名单请求/响应 |
| 0x2000/0x2001 | S→C | 初始化/开始扫描 |

> 说明：控制台经 FRP 直接访问客户端本地 HTTP；定时截图上传 AI 图片检测服务，AI 分析完成后以 REST API 向主服务端写入事件与截图索引。


#### F. 客户端基础设施


| 功能           | 说明                              |
| ------------ | ------------------------------- |
| 本地 HTTP 服务    | 默认 `127.0.0.1:54425`，提供 Dashboard 与 API |
| FRP 内网穿透     | frpc 将本地 HTTP 映射到 frps 公网入口       |
| 端口/地址上报      | 登录后调用 `upload_client_port` 上报 FRP 远程 URL |
| 单实例锁         | Mutex 防止重复运行                    |
| 开机自启         | 计划任务（无 UAC 弹窗）                  |
| URL 协议       | `r0guard://` 协议注册               |
| Defender 白名单 | 自动添加程序目录                        |
| 防节流          | PowerRequest 防止 Windows 降低后台优先级 |
| TPM 机器码      | 基于 TPM 的唯一硬件标识                  |
| 崩溃转储         | MiniDump 生成与上报                  |
| 自动更新         | 版本检测与下载                         |
| Pinned DNS   | 写死 IP 直连、隐藏 TLS SNI、无 DNS 查询    |
| 错误上报         | 全局异常捕获与云端上报                     |


#### G. 网络诊断工具

内置完整网络测试套件（供 Dashboard 调用）：

- ICMP Ping / 流式 Ping
- TCPing
- HTTP 测速（含跳转链追踪）
- Traceroute
- DNS 查询
- RealIP 检测（含代理/VPN 识别）
- FindPing（最优节点探测）

---

### 4.3 AI 图片检测服务（ai-service/）

独立于主服务端部署的**视觉检测微服务**，专门处理客户端定时上传的游戏截图。

#### 职责

| 环节 | 说明 |
|------|------|
| **截图接收** | 提供 HTTPS 上传接口，接收客户端多引擎截图及元数据（uid、steam_id、截图类型、分辨率、时间戳） |
| **图像推理** | 调用视觉模型识别外挂菜单、透视 UI、自瞄面板、可疑 Overlay 等 |
| **结果输出** | 生成标签、置信度、可疑区域坐标（可选）及原始截图存储路径 |
| **事件上报** | 将结构化检测事件推送至主服务端 REST API，由主服务端统一入库与触发封禁 |

#### 典型事件字段（上报主服务端）

| 字段 | 说明 |
|------|------|
| `event_type` | 如 `ai_screenshot_detection` |
| `uid` / `steam_id` | 用户标识 |
| `screenshot_type` | gdi / dxgi / dwm / mag / nvidia / amd |
| `labels` | AI 识别标签列表 |
| `confidence` | 整体或各标签置信度 |
| `screenshot_url` / `screenshot_id` | 截图存储引用 |
| `model_version` | 模型版本，便于回溯 |
| `detected_at` | 检测时间 |

#### 与主服务端的关系

- AI 服务**不处理**用户认证、心跳、黑白名单、自动封禁——这些由主服务端负责。
- 主服务端收到 AI 事件后，与普通检测事件一样进入 `ac_events` / `ac_screenshots`，执行黑白名单匹配与 `auto_ban` 逻辑。
- AI 服务可独立扩缩容（GPU 节点），不影响主服务端 TCP 连接与会话管理。

---

### 4.4 主服务端（server/）

#### 技术栈

- **Runtime**: Node.js ≥ 18
- **数据库**: MySQL 5.7+（反作弊库 `r0guard_anticheat` + 平台库 `arena`）
- **缓存**: Redis 6.0+
- **通信**: Express REST + mTLS TCP + Socket.IO

#### 监听端口


| 端口       | 用途                           |
| -------- | ---------------------------- |
| **3000** | REST API、健康检查、静态文件、Socket.IO |
| **9443** | mTLS TCP（生产环境常用 20058）       |

> 控制台公网入口由 **FRP 服务端（frps）** 提供，Dashboard 请求不经主服务端 3000/9443 转发。


#### 数据库表（反作弊库）


| 分类  | 表                                                 | 用途                |
| --- | ------------------------------------------------- | ----------------- |
| 管理  | `ac_admins`, `ac_operation_logs`                  | 管理员、操作日志          |
| 会话  | `ac_sessions`, `ac_heartbeats`, `ac_machine_info` | 用户会话、心跳、机器信息      |
| 事件  | `ac_events`, `ac_screenshots`, `ac_uploads`       | 检测事件（含 AI 截图检测 `ai_screenshot_detection`）、截图索引、上传文件 |
| 检测  | `ac_cheat_features`                               | 作弊特征详细记录          |
| 黑名单 | `ac_hash/signer/path/feature_blacklist`           | 哈希/签名者/路径/综合特征黑名单 |
| 白名单 | `ac_hash/signer/path/feature_whitelist`           | 对应白名单             |
| 封禁  | `ac_ban_records`                                  | 封禁记录              |
| 其他  | `ac_error_reports`                                | 客户端错误报告           |


#### 核心业务流程

```
客户端认证 → 写入 ac_sessions
    ↓
frpc 启动 → 映射本地 HTTP 到 FRP 公网地址 → 上报远程 URL (upload_client_port)
    ↓
心跳 (5s 间隔) → 更新在线状态
    ↓
进程内检测事件 (DLL/Hook/CRC 等) → 提取特征 → 查黑白名单
    ↓
定时截图 → AI 图片检测服务 → 视觉推理 → AI 检测事件上报主服务端
    ↓
主服务端入库 (ac_events / ac_screenshots) → 查黑白名单
    ↓
命中黑名单 + auto_ban=1 → 自动封禁 (调用平台 API)
```

#### 远程控制台

```
用户客户端
    ├─ R0Guard.exe 监听 127.0.0.1:54425 (Dashboard + API)
    └─ frpc.exe 连接 frps，映射为 https://<子域名>.<frp域名>:<端口>
         ↓
平台管理员浏览器 → FRP 公网 URL → frps → frpc → 本地 HTTP
         ↓
dashboard.html / FLV 直播 / 截图预览 等直接由客户端响应
```

客户端登录后通过 `upload_client_port` 或平台 API 登记 **FRP 映射后的访问地址**，供管理员从平台后台一键打开远程控制台。用户离线时 FRP 映射失效，控制台不可访问。

---

## 五、安全与加固

### 5.1 编译期安全


| 机制                | 说明                                 |
| ----------------- | ---------------------------------- |
| **VMProtect SDK** | 可选代码虚拟化/变异 + 字符串加密 (`R0VMP_STR_A`) |
| **日志剥离**          | `R0_STRIP_LOGS` 编译期消除所有日志字面量       |
| **路由哈希**          | HTTP 路由以 FNV-1a 哈希存储，二进制无路由明文      |
| **Secure String** | 敏感字符串编译期加密、运行期临时解密                 |


### 5.2 通信安全


| 机制                | 说明                             |
| ----------------- | ------------------------------ |
| **mTLS**          | 双向 TLS 证书认证                    |
| **RSA + AES-GCM** | 载荷加密                           |
| **Pinned DNS**    | 写死 IP 直连、TLS 隐藏 SNI、不产生 DNS 查询 |
| **证书嵌入**          | 客户端证书编译为 PE 资源，口令编译期加密         |


### 5.3 运行期安全


| 机制                 | 说明                             |
| ------------------ | ------------------------------ |
| **本地 HTTP + FRP** | 控制台经 frpc 穿透到公网，需 FRP token 鉴权     |
| **Dashboard 登录**   | Dashboard 页面自带登录校验，防止未授权访问        |
| **命令执行移除**         | 任意 cmd 执行接口已永久删除               |
| **管理员权限**          | UAC manifest 要求管理员（进程保护需要）     |
| **进程 DACL 保护**     | 阻止外部进程读写游戏内存                   |


### 5.4 检测响应


| 严重级别     | 含义     |
| -------- | ------ |
| INFO     | 信息性消息  |
| WARNING  | 需要关注   |
| CRITICAL | 可能存在作弊 |
| FATAL    | 几乎确定作弊 |


服务端支持基于 MD5/SHA256/CRC32/签名者/路径的**黑白名单**，命中黑名单且 `auto_ban=1` 时自动封禁。

---

## 六、构建与部署

### 6.1 客户端构建

**环境要求：** Windows 10/11 x64、Visual Studio 2019+、CMake 3.15+

```powershell
# 标准构建
.\build.ps1
# 产物: build/bin/Release/R0Guard.exe, R0GuardDll64.dll, steam_worker.exe

# VMProtect 加固构建
cmake -DR0_USE_VMPROTECT=ON ..
.\build_all_protected.bat
```

**产物清单：**


| 文件                 | 说明                 |
| ------------------ | ------------------ |
| `R0Guard.exe`      | 主程序（GUI 托盘，需管理员）   |
| `R0GuardDll64.dll` | CS2 检测 DLL (64 位)  |
| `R0GuardDll32.dll` | CSGO 检测 DLL (32 位) |
| `steam_worker.exe` | Steam 信息辅助进程       |


### 6.2 AI 图片检测服务部署

AI 服务独立部署，需配置：

- 截图接收地址（客户端 `ScreenshotManager` 上传目标）
- 视觉模型路径或远程推理端点
- 主服务端事件上报 API 地址与鉴权密钥
- 截图存储目录或对象存储（OSS/S3 等）

```bash
# 示例（具体命令依 ai-service 实现而定）
cd ai-service
cp env.sample .env    # 配置 AI_SERVICE_PORT、MAIN_SERVER_URL、MODEL_PATH 等
# 安装依赖并启动 GPU 推理服务
```

### 6.3 主服务端部署

```bash
cd server
cp env.sample .env     # 配置数据库/Redis/证书
npm install
npm run generate-certs # 生成 TLS 证书
npm run db:init        # 初始化数据库
npm start              # 或 pm2 部署
npm run pm2:logrotate:setup  # PM2 日志轮转
```

---

## 七、辅助程序与工具


| 组件                              | 说明                                        |
| ------------------------------- | ----------------------------------------- |
| **steam_worker.exe**            | 独立进程安全获取 Steam 信息，避免主进程加载 steam_api64.dll |
| **resources/frpc.exe**          | FRP 客户端，将本地 HTTP 控制台映射到公网远程访问              |
| **ai-service/**                 | AI 图片检测服务，接收截图并上报检测事件至主服务端              |
| **updater/**                    | 已废弃，更新由 R0Installer.exe 处理                |
| **resources/dashboard.html**    | 远程控制台 Web UI                              |
| **server/scripts/**             | 数据库迁移、证书轮换、事件清理等运维脚本                      |
| **.gitea/workflows/deploy.yml** | CI/CD 部署流水线                               |


---

## 八、白名单签名者（内置信任）

Microsoft Corporation、Valve、NVIDIA Corporation、AMD、Intel Corporation、Realtek、Logitech、Razer、Corsair、SteelSeries 等。

---

## 九、相关文档索引


| 文档         | 路径                                      | 内容                  |
| ---------- | --------------------------------------- | ------------------- |
| 项目 README  | `README.md`                             | 基础介绍与编译说明           |
| 检测系统       | `server/docs/detection-system.md`       | 6 类检测字段与黑名单策略       |
| 数据库表结构     | `server/docs/database-tables.md`        | 全部 AC 数据库表          |
| 服务端 README | `server/README.md`                      | 安装部署与 API           |


---

## 十、总结

R0Guard 是一个**功能完整的 CS:GO/CS2 反作弊平台**，涵盖：

1. **6 类游戏内检测**（DLL 注入、远程线程、Hook、CRC、可疑内存、硬件断点）
2. **7 种截图引擎 + AI 图片检测 + FLV 直播**
3. **截图 → AI 服务 → 主服务端** 三段式视觉检测链路
4. **全系统监控**（进程、磁盘、USB、杀软、文件特征）
5. **游戏进程 R3 层 DACL 保护**
6. **mTLS 加密云端通信 + FRP 远程控制台**
7. **完整远程控制台**（进程/文件/截图/直播/网络诊断，经 frp 映射访问）
8. **黑白名单 + 自动封禁**
9. **多层安全加固**（VMProtect、日志剥离、Pinned DNS、路由哈希）

当前版本 **1.0.39**，客户端采用 C++17，服务端采用 Node.js 18，面向 Windows x64 平台，需管理员权限运行。