济南计算机犯罪专业辩护律师张洪强《制售游戏外挂案件无罪攻略》

游戏外挂犯罪案件，存在定罪混乱，争议大的情况。

当前公检法机关对脚本、外挂的分类及运行原理不明确，定罪混乱，办案经验不足，导致定性不准、甚至 定性错误，有时出现轻罪重判的现象，这对外挂的从业者是不公平的。

制售游戏外挂程序案件，常见的争议罪名有提供侵入、非法控制计算机信息系统的程序、工具罪；非法获取计算机数据罪、非法控制计算机罪；破坏计算机信息系统罪等。

张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，北京京师律所全国刑委会华东区副主任，专业办理游戏脚本、外挂等网络游戏犯罪和计算机犯罪案件，对游戏辅助、脚本、外挂犯罪案件有深入的研究和总结，著作《制作销售游戏外挂案件无罪攻略》、《游戏脚本构成犯罪的判定标准》等，总结出化解游戏外挂案件争取无罪的三个路径，为游戏外挂的作者、销售者、代理、打金工作室等游戏从业者提供专业的刑事法律服务。

张洪强律师总结游戏外挂程序案件争取无罪和罪轻处罚的三个路径和方法，防止外挂的作者、销售者、使用者被误抓误判，以争取当事人利益的最大化。

一、化解外挂犯罪风险的第一个路径：从外挂程序的技术、运行机理角度，争取不构成刑事犯罪。

我们判断一款外挂程序是否构成犯罪的时候，首先，要分析这款外挂的制作技术和运行机理。不同的外挂制作、运行原理不同，我们在辩护时要从外挂的具体内容、制作的方式、包括的程序内容、运行原理、实现的功能等技术角度争取指控的罪名不成立，争取最轻的认定。

通用总结的外挂的开发技术过于复杂，很多人看不懂，也不能理解。张洪强律师根据自己办案经验的总结，认为外挂案件的主流开发技术可分为四种，用通俗易懂的语言表述为：

①自动脚本类技术。

②数据获取类技术。

③客户端修改类技术。

④数据包（通信协议数据）修改类技术。

根据开发技术的原理，有一些外挂程序行为，是不应该被当做刑事犯罪处理的。具体如下：

1、数据获取类技术。

数据获取类技术，可以被称为外挂之母，任何外挂要想发挥作用，都要先获取网络游戏中的数据。

该类技术，并不对游戏程序本身进行修改，通常不会独立地产生作用，此类技术的主要应用途径有两类：

①图像查找类。如“屏幕找色”，通过对电脑显示屏输出的画面进行检索，获取如“金钱”“血量”“路径”等信息，该类技术不会读取游戏的内存数据，一般也不会绕过游戏的保护机制。

对于通过自动屏幕截图、自动屏幕比色、自动屏幕点击等技术手段实现的自动执行任务的脚本程序，不能认定为非法侵入、控制程序。

②内存查找类。内存查找类技术则是通过对加密的内存数据进行破解，得到正常玩家无法获得的数据，正常玩家在游玩过程中只能获得从画面上显示出来的信息，比如在射击游戏中通过非法获取到的敌人位置信息、玩家的坐标信息、属性等，就是所谓的透视功能、隔墙看人等功能。

内存查找类数据获取技术，属于非法获取游戏中的数据，广大游戏厂商对于这类技术几乎束手无策，只能通过不停地更新游戏版本来改变关键数据的位置或加密协议。

2、自动脚本类技术。

游戏脚本不涉及修改游戏数据或者新增功能，这种脚本只是代替人工完成机械性操作，它存在的意义就是解放双手。

这种脚本所达到的效果，对游戏的影响微乎其微，没有达到刑法所规定的社会危害性。

特点：它并不修改关于游戏程序本身的任何数据。该类技术本身并不存在极大的危害性，甚至一定程度可以优化网络游戏玩家体验，减少枯燥反复的操作。

A、模拟人工操作类脚本，不应被当作犯罪处理。

该类脚本程序的作用原理是编写脚本去构造点击逻辑，让脚本分析器去解析参数传递给相应功能接口，从而实现点击过程。

B、图色识别自动执行类脚本，不应被当做犯罪处理。

对于通过自动屏幕截图、自动屏幕比色、自动屏幕点击等技术手段实现的自动寻路、自动拾取、自动打怪等自动执行任务的脚本程序，不能认定为非法侵入、控制程序。

关于该类游戏脚本的办案经验可以参照张洪强律师著作《制售游戏脚本构成犯罪的判定标准》。

C、读取内存自动执行类脚本。

当自动脚本功能实现是基于非法数据时，如果运气不好、或者使用规模过大，此类脚本是有可能被刑事打击的。

内存查找类技术通过对加密的内存数据进行破解，得到正常玩家无法获得的数据，正常玩家在游玩过程中只能获得从画面上显示出来的信息，比如在射击游戏中通过非法获取到的敌人位置信息、玩家的坐标信息、属性等，就是所谓的透视功能、隔墙看人等功能。

当脚本类技术结合内存读取类技术，则可以开发出各种功能强大的外挂，如 “自动瞄准”“自动躲避” “自动练级”等等，会在不同程度上去破坏游戏平衡性。

以自动执行为核心的脚本是否具有危害性，应当以其是否有非法获取数据的行为来区分。当自动脚本使用的是合法信息，通过“屏幕找色”、“操作录制”等功能来做到自动执行的效果时，对此不应考虑入罪，因为既不存在破坏类行为，也不存在非法获取行为，可以理解是玩家通过对电脑的充分利用来破坏游戏平衡，在危害性和构成要件上都不足以被计算机类罪名所规制，且由于我国对游戏代练、脚本软件等方面并没有进行政策上的规制，该类程序的出售或服务提供都不构成犯罪，只是单纯对于网络游戏用户协议的违反，可以按照民事纠纷或不正当竞争行为处理。

而当自动脚本功能实现是基于非法数据时，可以根据其是否存在非法获取数据，针对“处理或传输的数据进行增加、修改”等行为，判断何种罪名更能够精确的描述具体犯罪行为。

　 3、客户端修改类技术。

客户端指的是用户在个人电脑上的程序，用于与运营厂商的服务器端协同工作。

目前游戏行业一般将计算量较大且运行延迟要求较高的部分放在客户端处理，比如射击类、格斗类游戏大多以本地数据计算为主，以求为玩家提供更好的游戏操作体验。

客户端修改类外挂开发涉及技术有以下类型：

①直接内存修改。

外挂通过检测游戏运行时系统内存数据变化，进而确定内存中涉及游戏货币、道具数量、角色属性等核心数据的区域，通过锁定或修改相关数值来实现游戏作弊。

例如，通过外挂程序检测内存中玩家信息（角色、职业、级别、道具、财富），然后在锁定内存修改所需要的游戏信息进行游戏作弊。

由于其本身的局限性并不会对网络游戏产生多大的破坏，但是对于一些数据加密方式落后的游戏，直接内存修改也可以对其产生较为明显的影响。

张洪强律师在浙江处理的一起游戏外挂案件，就属于对客户端进行修改。

②源程序修改。

这种技术也需要更高的专业水平，要求对计算机编程高级语言和汇编语言有一定的掌握，通常为专业外挂开发者所使用。

这种类型的外挂实际上就是在原始程序的基础上创建了新的游戏内容，但与原始游戏共用一个服务器数据库。

开发这类外挂，需要通过反汇编等手段对游戏的客户端程序进行解析，了解游戏内部的运行方式，从根源上进行修改。

③动态链接库注入修改。

动态链接库（ＤＬ+Ｌ）是wei软公司在wei软Ｗｉｎ++ｄｏｗｓ操作系统中，实现共享函数库概念的一种方式。常见的有ＤＬ+Ｌ注入类外挂或者ＤＬ+Ｌ劫持类外挂，二者作用原理大致相同，都是对网络游戏运行所需要使用的函数库进行修改，并在运行时使其成为程序进程的一部分。

4、数据包修改类技术--修改通信协议数据。

当前主流的网络游戏采用客户端/服务器端模式，彼此两端通过网络通信协议完成游戏数据交互。

外挂通过破解网络游戏客户端程序和通信协议，截获客户端与服务器端通信协议数据包，修改并注入内容达到游戏作弊目的。数据包的修改是实现外挂功能的主要部分，比如服务器给客户端的指示是让玩家的游戏人物死亡，那么破解并修改通信协议数据包中的特定部分，就可以将指示改为存活或者复活。

简单概括为：破解-抓包-修改-再发包。

①破解网络游戏客户端登录窗口和通信协议-破解

②通过截获通信协议数据包-抓包。

③对操作指令进行伪装-修改。

④再发送给服务器修改后的指令-再发包

服务器端无法识别伪装后的操作指令，就做出了外挂使用者想要得到的反应进而完成游戏作弊。

这种修改技术目前也很常见，常用于客户端加密较强、无法直接修改的网络游戏。开发者需要对游戏反编译，理解游戏程序逻辑、通讯协议的结构、规则以及加密算法、函数功能、参数以及地址等，调用或修改游戏客户端的某些程序功能，是较为先进的技术。

网络上多用ＷＰ+Ｅ网络编程控件来实现数据包的抓取、修改和发送，该类软件存在众多开源项目或者源代码。

二、化解外挂犯罪风险的第二个路径：从外挂程序功能和鉴定上争取无罪。

外挂程序功能的认定，是给外挂定罪定性最重要最关键的部分，只有通过鉴定，认定外挂程序属于破坏性程序、非法侵入、控制程序，制作外挂的行为才构成相关计算机犯罪。

张洪强律师遇到一起游戏外挂案件，因无法做鉴定，最终嫌疑人的行为难以被认定为犯罪。

外挂脚本程序，是否具有非法侵入功能、非法控制功能、破坏功能是制作者、售卖者是否构成犯罪的关键点。

首先，争取认定为：不具有非法侵入功能、不具有非法控制和破坏功能。

在准确理解什么是非法获取数据行为、什么是计算机信息系统的前提之下，对外挂程序非法获取数据、控制系统、破坏系统的相关罪行为，才能做出相对客观的判断。

1、“数据封包”和“游戏客户端”不应被认定为“计算机信息系统”。

构成计算机犯罪的前提是侵入、控制、破坏计算机信息系统，而“数据封包”和“游戏客户端”不应被认定为“计算机信息系统”。

依据：《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第十一条第一款规定，本解释所称“计算机信息系统”和“计算机系统”，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。

根据以上司法解释的规定，计算机信息系统应是具备自动处理数据功能的设备。

A、数据封包并非具有自动处理数据功能的设备，不属于计算机信息系统；

B、客户端安装在用户自己的电脑上，不可能认为用户自己侵入自己的计算机信息系统。

因此，计算机犯罪中的“计算机信息系统”应指服务器，而不是客户端和数据封包，不应将“计算机信息系统”不合理地扩大解释为包括“客户端-数据封包-服务器”的整个游戏进程，而实践中的网络游戏外挂绝大部分都是作用于客户端和数据封包的，因而不满足该罪的“计算机信息系统”要件。

对于游戏运营商的服务器计算机系统而言，外挂程序虽然修改了客户端与之传送的数据封包，造成服务器一定负担，但并未入侵游戏服务器，也没有修改服务器中的数据，因此不能认定为侵入服务器的计算机系统。

2、争取认定为不具有“侵入功能”。

外挂程序的侵入功能，表现为：是否破解了客户端的加密算法和通信协议、绕开安全防护机制、绕过外挂检测防护机制，即通过各种技术手段突破游戏计算机信息系统的防护措施。

模拟人工操作类脚本、图色识别自动执行类脚本，不具有侵入功能。

内存读取自动执行类脚本，因为有非法读取内存数据的行为，有可能被认定为有侵入功能。

客户端修改类脚本、数据包（通信协议数据）修改类脚本，有被错误认定为“侵入”功能的可能。

3、争取认定为“不具有非法控制功能”。

外挂虽经不法手段获取游戏数据修改权限，但远达不到控制计算机系统的程度，“非法控制”要求对计算机信息系统产生排他性支配，而网络游戏外挂只是通过对客户端或数据封包的数据进行修改，实现游戏本不具有的功能，并不影响其他玩家参与网络游戏，未对游戏程序产生排他性支配，因而也不宜将其认定为“非法控制计算机信息系统的程序、工具”。

我们需要注意，外挂程序使游戏进行自动任务，自动控制游戏进行自动躲避、自动杀怪、自动刷关等操作，不代表对游戏系统进行了控制。

例如，梦huan+西游的一款脚本，利用py++thon图像识别技术，编写函数，让玩家可以自动执行挖宝、接图任务，这并不是对游戏系统的控制，而是通过图像识别，编写函数，在游戏系统外，再造一套执行程序，而不是通过对侵入、控制游戏系统实现的。

模拟人工操作类脚本、图色识别自动执行类脚本，不具有侵入功能，一般也不具有非法控制功能。

读取内存自动执行类脚本，因为有侵入功能，如果通过调用游戏内部函数，使游戏执行了某项操作或新增了功能，有被认定为具有非法控制功能的可能。

4、争取认定为不具有“破坏性功能。

外挂程序破坏性功能的判断标准是：对网络游戏内部数据和应用程序实施了删除、修改、增加的操作，且后果严重。

经常有不专业的人说，只要增加了游戏没有的新功能，就是通过增改删实现，就破坏了计算机系统是错误的。

我们在办理案件时要特别注意，外挂程序增加了游戏本身不具有的功能，如透视、自动瞄准，自动挖宝、刷关等，不一定是通过对游戏的数据和应用程序实施了删除、修改、增加的操作实现的，有可能是通过图色识别实现，例如《英雄+lian盟》某款脚本外挂，可以使游戏玩家在游戏中获得自动攻击、自动躲避敌方技能，是通过图色识别实现，并不是通过对游戏的数据和应用程序实施了删除、修改、增加的操作实现的。

①模拟人工操作类脚本外挂、图色识别自动执行类脚本外挂，不具有侵入功能，不会对游戏的数据和应用程序实施了删除、修改、增加的操作，不具有破坏功能。

读取内存自动执行类外挂，虽然读取了游戏内部的数据，但不会对游戏的数据和应用程序实施了删除、修改、增加的操作，不具有破坏功能。

②数据修改类外挂存在侵入客户端，复制修改客户端程序数据的行为，不可否认其具有侵入性的特点，但是，根据运行原理，数据修改类外挂不存在对计算机信息系统功能进行删除、修改、增加、干扰，其劫持的是数据封包，对计算机信息系统功能不具备影响力。

③从行为人的主观目的来看，外挂开发者和销售者是为获取高额利润而制作或销售，其正常运行也需要依赖于安全的计算机信息系统和网络系统，其不能也不想造成原游戏服务器不能正常运行。因而数据修改类外挂不具备破坏计算机信息系统安全的目的，不属于破坏计算机信息系统安全的犯罪意义上的“破坏性程序”。

④所造成的后果不能达到“后果严重”的程度。

从外挂的危害后果来看，所影响的是游戏玩家的体验感，对网络游戏系统的应用程序和运行安全并不致以造成危害，与造成网络黑屏、待机、卡机等因为应用程序受到破坏而使网络游戏系统无法安全运行、游戏功能无法正常发挥的情形具有显著的区别。

一般而言，外挂通过破坏原程序的技术保护措施，未经授权或超越授权对计算机信息系统进行访问、使用，其干扰了主程序的正常运行，但尚未达到破坏计算机信息系统的程度，不宜以破坏计算机信息系统罪论处。

其次，从外挂程序功能的鉴定上入手，争取不构成犯罪。

游戏外挂案件中，公安机关需要委托专门的鉴定机构对外挂程序的功能进行司法鉴定，鉴定机构的鉴定意见，是定罪的最关键的证据。

关于鉴定机构出具的鉴定意见，经常存在以下几个方面问题。

第一方面：有些鉴定机构出具的鉴定意见比较模糊，不能够对外挂程序具体运行机理做详细说明，导致无法对外挂的功能做出准确的认定。

例如，某起游戏外挂案件，鉴定意见仅论证某外挂程序对游戏的正常操作流程和正常运行方式造成了干扰，进而将其界定为‘破坏性程序’，但未论证外挂程序对应用程序进行了修改、增加，亦未证明是否造成计算机系统无法正常运行，最终，法院认为，不能根据该鉴定意见将涉案外挂程序认定为“破坏性程序”。

我们在办理案件时要注意：

①只是写明网络游戏外挂具有破坏性等概括性描述，并没有论证外挂程序对应用程序进行了修改、增加，亦未证明是否造成计算机系统无法正常运行。

②只是写明“改变软件的运行过程、结果”或“对游戏的正常操作流程和正常运行方式造成了破坏”的模糊描述，并没有论证运行机理。

③只是写明“自动控制游戏进行挖宝、、、、、、、等自动任务”，并没有论证控制自动执行任务是基于游戏画面图像识别还是基于非法获取的内部数据。

因为鉴定意见中 ，没有将外挂程序的运行机理讲通、讲透，经常会出现难以正确适用法律的情况。

第二方面：检材、样本来源不明的问题，提取程序不合法的问题。

公安机关在委托司法鉴定机构对涉案的脚本程序进行鉴定时，需要向鉴定机构移送他们提取的脚本程序，这个被移送的用于鉴定的脚本、外挂程序，就是用于鉴定的检材，如果检材来源不明，或者检材提取程序不合法，则无法保证鉴定的针对性、客观性，总结张洪强律师遇到的外挂类案件，在鉴定检材方面经常存在以下问题。

A、检材来源不明的问题。

①没有检材外挂程序的提取笔录。按照取证规定，对电子程序进行提取要制作笔录，符合技术条件，并且要有见证人在场。

②检材提取的时间与送检的时间。

因游戏外挂一般有多个版本在售，要注意通过检材提取时间来确认同一性。

在一起外挂案件中，检测报告中“某某外挂”是在2018年4月7日在网上发布，而被告人在2018年3月22日其已被羁押，显然无法证明外挂的一致性。

③提取检材、送检检材、被鉴定检材的名称、哈希值是否一致的问题。

B、检材来源于证人而非嫌疑人那里。

C、检材来源于新制作的外挂，无法确认同一性。

张洪强律师处理过一起游戏外挂案件，被告人被抓以前，已经将自己制作的外挂全部删除了，警方为了办案，让嫌疑人又重新制作了一款外挂用于鉴定，显然不能证明外挂的同一性。

第三方面：鉴定程序是否违反《软件功能鉴定技术规范》《破坏性程序检验操作规范》等规定；鉴定过程是否符合技术标准和规范要求。

司法鉴定机构鉴定人员在鉴定时是否按照司法鉴定检验的一系列国家标准和行业标准，是我们要重点审查的。

①《电子数据司法鉴定通用实施规范》。

②《电子物证软件功能检验技术规范》。

③《声像资料鉴定通用规范》（SF/Z JD0300001-2010）。

三、化解外挂犯罪风险的第三个路劲：从证据上争取不构成犯罪。

在外挂犯罪案件中，证据一般都是围绕人员架构、资金流和网络痕迹，我们律师要重点审查人员链、资金流和网络痕迹的相关证据，看能否找到证据存在的问题，切断证据链。

很多外挂从业者被抓之后，拒不承认外挂是他制作和销售的，但最终也有一些人被定了罪判了刑，为什么？就是因为不能推翻侦察机关取得的证据链条。要争取不批捕、不公诉、罪名不成立需要从证据入手，看能否切断证据链。

例如某案件，犯罪嫌疑人被抓以后，不承认他是脚本外挂软件的制作者，因为只有下线销售代理的举报而没有其他证据而释放。

1、如何证明被告人是外挂程序的制作者、销售者。

网络犯罪与传统犯罪不同，即使有线索指向犯罪嫌疑人并将其抓获，也很难确定犯罪嫌疑人就是外挂的制作者、销售者。

首先，审查网络痕迹证据指向。

我们在办理案件时可以按照以下几步来审查相关证据，看能否切断证据链。

第一步: 审查外挂的代码信息与嫌疑人的关联性。

审查涉案脚本程序中是否留有代表作者身份信息的字符串信息，该字符串信息能否指向犯罪嫌疑人。例如在一起案件中，在涉案程序源码中发现有一个字符串“xxxxx”， 犯罪嫌疑人陈某供述自己曾用“xxxxx”作为在一些网站、论坛以及邮箱、账号的登录名。 该字符串就对犯罪嫌疑人形成了一定的指向性。

第二步：审查被告人电脑、手机中是否检测出脚本的相关文件、程序，是否与公安机关提取的涉案外挂程序一致，主要包括文件名、目录名、md5值的质证。是否发现“外挂”生成程序、“外挂”源代码、辅助硬件等作案工具。

例如，张洪强律师遇到的某起游戏外挂案件中，从嫌疑人电脑中提取到外挂卡密信息。

第三步：相关的ip地址、mac地址、域名、服务器中的痕迹信息等与嫌疑人的关联性。

审查虚拟主机、ip地址、域名、解析记录、上网日志的关联性，审查销售平台、发卡机器人的注册信息，相关销售平台、下载网址等ip地址等网络痕迹是否与被告人的电脑、邮箱、wei信、wei博等个人账户的登录ip地址一致。

其次，切断嫌疑人与外挂黑色产业链的“人员链”证据。

在很多案件中，公安机关只抓获外挂黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，我们遇到很多外挂从业者被抓都是因为下线销售者、代理被抓而举报，所以我们要重视人员链的相关证据。

切断人员链证据,即‘同案犯指认→被告人’的证据指向。

外挂犯罪呈现出黑色产业链的特征，这些人一般都互不认识，只是通过聊天软件联系、境外聊天工具联系的网友，互相之间连真实名字都不知道。

审查同案犯举报是否有其他证据来证明，单纯举报而没有其他证据印证的，难以定罪，就像张洪强律师遇到的一起游戏外挂案件，嫌疑人被举报被抓，但警方已经找不到他销售的外挂，无法提取做功能性鉴定，最终，因证据不足，不能查清犯罪事实，检察院无法逮捕。

我们律师在处理案件时要审查证据中的聊天记录、转款记录、通话记录、联机记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

再次、审查资金链的证据指向，即：购买外挂的资金→外挂销售者→外挂代理→外挂作者。

资金链证据包括：

①销售平台的域名、ip地址、管理页面截图（证实充值金额）销售网站的会员消费记录、银行账户交易清单。

②相关wei信、支fu宝交易流水、转账记录等。

③虚拟币的流转记录。

现在很多外挂的作者都只收取虚拟币，不接受银行卡、支fu宝等流水交易。

我们律师在办理案件时，要审查：虚拟币流向路径关联到被告人的证据是否形成证据链的问题。

要审查虚拟货币账户、钱包地址、IP地址等网络痕迹与被告人的关联性证据。如果不能形成证据链，就有可能从证据上切断涉案资金、虚拟货币的交易网络、交易行为以及资金流向与被告人的对应或关联关系。

2、外挂程序是否提取到。如果提取不到，将无法确定外挂的功能，无法定罪。张洪强律师在山东处理的一起外挂程序案件，脚本外挂制作者被抓后，涉案的程序已经被销毁，无法提取到。

3、外挂的运行原理是否查清。如果查不清运行原理，案件将无法定罪。

4、脚本、外挂黑色产业链的组织架构、运作模式是否查清。

5、外挂的销售渠道、销售人次是否查清。

办理外挂犯罪案件不仅面临法律问题,也时刻面临错综复杂的技术问题，外挂犯罪案件专业性极强，正深刻颠覆着传统的办案模式,挑战着办案人员传统的知识储备，在这些小小程序中使用了许多计算机技术，我们律师要想在此类案件中，真正能维护好涉案人员的合法权益，就要加强专业知识的学习和经验的积累，不能临时抱佛脚，从网络上查一下肤浅的知识就上战场。

京师（济南）律所张洪强律师，依托北京市京师律师事务所全国大平台刑辩资源，深耕计算机犯罪和网络游戏犯罪，专业办理游戏脚本、外挂等计算机犯罪案件，对游戏辅助、脚本、外挂犯罪案件有深入的研究和总结，为律师办理游戏脚本外挂犯罪案件，提供精准有效的办案指导。

本文为张洪强律师办案经验总结，希望对法律同仁办理游戏外挂脚本等计算机犯罪案件提供帮助和指导。