被封印的内挂丸 —— 配置保存机制实证报告

日期：2026-10-18 23:2x<br>样本：D:\rxjh2025\client\*.aut 共 110 个（全部 11812 字节）<br>目标程序：YGOnline.exe 15,072,256 B / i386 / ImageBase 0x400000

---

一、结论先给

"开启的功能"不是存在 ini / 文本 / 注册表里，而是存进一个 11812 字节的定长内存结构体，<br>退出面板或改设置时整个结构体原样 dump 到 client\<账号名>.aut。

保存动作本身走的是 C 运行库标准 I/O：

fopen("<exe目录>\client\<账号名>.aut", "r+b")   // 或 "wb"
    fwrite(&g_AutoConfig, 1, 11812, fp)          // 整块，不是逐项
fclose(fp)                                        // 内部 fflush -> SetEndOfFile 截断到 11812

底下落到 Win32：

CreateFileA  (GENERIC_READ|GENERIC_WRITE, OPEN_ALWAYS)
WriteFile    (整块 11812 字节)
SetEndOfFile (把文件精确截到 11812)
CloseHandle

证据链

第 6 条是最硬的：任何文本配置都不可能在 110 个不同账号下保持同一字节长度。
唯一解释就是「sizeof(struct) 固定 + 整块 WriteFile」。

---

二、文件结构

┌──────────────────────────────────────────────┐
│ 0x0000  4 B     文件头 = 6A 00 00 00 (魔数 0x6A) │
├──────────────────────────────────────────────┤
│ 0x0004  2952 B  配置槽 0（预设 1）             │
│ 0x0B8C  2952 B  配置槽 1（预设 2）             │
│ 0x1714  2952 B  配置槽 2（预设 3）             │
│ 0x229C  2952 B  配置槽 3（预设 4）             │
└──────────────────────────────────────────────┘
合计 = 4 + 2952 × 4 = 11812 ✔

• 4 套预设，同一时刻只有 1 套生效（非零字节最多的那套）。
• 110 个样本里：88 个用槽 0、17 个用槽 1、5 个用槽 2。
• 空槽整段是全 0。

槽内布局（槽基址 = 4 + 2952 × N）

开关位图的实证

110 个样本按「活动槽」统计 +0x074 ~ +0x096：

• 全部 35 个位置的取值只有 0 和 1（无一例外）
• 分布不是全 0 也不是全 1，而是各文件不同：
• +0x075 → 57 关 / 53 开
• +0x077 → 49 关 / 61 开
• +0x092 → 29 关 / 81 开
• +0x083 → 108 关 / 2 开
• +0x070~0x073、+0x085~0x091、+0x097 及之后恒为 0 → 保留位

两个样本实测：

chang1.aut   开关: 0 0 1 1 0 1 1 1 1 1 1 0 0 1 0 0 1 0 ... 1 1 1 0 0
             已开启: [2,3,5,6,7,8,9,10,13,16,30,31,32]   档位=3
             参数: 15 99 25 2 99 99 99 99 99 29 2 99 99 99 30 2 5 99 40 ...

baoma001.aut 开关: 0 1 1 1 0 1 1 1 0 0 1 1 0 0 0 0 0 0 ... 1 1 0 0 0
             已开启: [1,2,3,5,6,7,10,11,30,31]            档位=0
             参数: 全 0

「参数表全 0 但开关照样有 10 个开着」—— 只有开关位图和参数表分开存储才会出现这种组合。

---

三、现成工具

D:/AI空间/rxjh/tools/_aut_cfg.py

from _aut_cfg import AutCfg

c = AutCfg(r"D:/rxjh2025/client/chang1.aut")
print(c.active_slot)      # 当前生效槽（0..3）
print(c.switch_on())      # 已开启的开关序号列表
print(c.params())         # 29 项参数

c.set_switch(3, 1)        # 打开 3 号开关
c.set_param(0, 20)        # 参数表第 0 项 = 20
c.set_count(5)            # 档位 = 5
c.save()                  # 原地写回，自动生成 .bak

命令行直接看：

python D:/AI空间/rxjh/tools/_aut_cfg.py D:/rxjh2025/client/chang1.aut

注意：游戏运行中改文件会被它内存里的旧结构体覆盖回去。要改必须先退游戏，<br>或者在游戏内改完再退（退出时会再写一次）。

---

四、还差一步：开关序号 → 功能名

35 个位里目前能确定"是开关"，但哪一位对应面板上哪个勾选框，只能靠一次对照实验。

已架好零风险监控（不注入、不 hook、不改游戏代码）：

D:/AI空间/rxjh/tools/_watch_save.py   （正在后台跑）
日志：D:/AI空间/rxjh/_save_snap/_watch.log
快照：D:/AI空间/rxjh/_save_snap/

它每 0.25 秒比对 client\ 下所有 .aut/.mhslot/.scs 的大小与 mtime，<br>一有写入立刻存快照并算出「改了哪几个字节、字节区间在哪」。

标定步骤：

1. 打开内挂面板，记下当前开着哪些功能（或截图）
2. 只改动 一个 勾选框
3. 让面板保存（关面板 / 点保存 / 退出游戏都行）
4. 监控会立刻报出改动的字节偏移 → 那个偏移减去 4 + 2952×活动槽 就是开关序号

做 3~5 次就能把最常用的几个对上号。剩下的按位序推断。

---

五、另外两种存档（附带结论）

两者与 .aut 同一套机制：定长结构体 + 整块 WriteFile。<br>命名规则也印在 .rdata 里：%s~%d.scs / %s%d.scs / %s-%d.scs 三种槽位形式。