2003年夏天，传奇我在网吧角落那台赛扬1.7的外挂机器上，第一次用WPE（Winsock Packet Editor）截获了《传奇》客户端发给服务端的制作抓包封包。那时候私服刚冒头，传奇官服还在用明文传输——连加密都没做。外挂截下来的制作抓包十六进制数据里，攻击指令、传奇移动坐标、外挂物品使用，制作抓包全写得清清楚楚。传奇
说白了，外挂抓包就是制作抓包截获客户端和服务器之间的通信数据。传奇用的传奇是TCP协议，早期版本几乎没有混淆。外挂你打开WPE，制作抓包选中LegendOfMir.exe进程，设好过滤器，游戏里砍一刀，立刻能看到一串以“00 01”开头的字节流弹出来。那会儿论坛上有人发帖说“封包能改”，我还不信，结果自己试了试——把攻击封包里的目标ID改成自己的，一刀下去，角色真掉血了。
抓包工具不止WPE。后来有人用Colasoft Capsa，界面花哨些，能看协议分层。再往后是Wireshark，功能强但笨重，抓传奇得先设过滤规则“tcp.port == 7000”，不然满屏都是网吧局域网里的ARP广播。我见过一个狠人，直接用WinSock API写了个DLL注入器，把send和recv函数挂钩，连WPE都省了。那代码我现在还记得片段：int WSAAPI hook_recv(SOCKET s, char* buf, int len, int flags)，里面把buf拷出来存文件，再原样返回。
抓包只是第一步。真正做外挂的人，会把封包拆开分析。比如走路封包，格式大概是：
[长度][命令码 0x3010][方向][X坐标][Y坐标][校验位]
方向是1字节，0到7对应八个方位。坐标是2字节小端序。校验位早期是简单异或，后来改成CRC16。有人算出校验算法后，写了个“一步十格”的挂——把坐标直接改成目标点，服务端居然不验证距离，直接瞬移。那会儿沙巴克攻城，满屏都是飞人。
但抓包也有翻车的时候。有次我抓到一个“祝福油”封包，兴冲冲改成“屠龙”，发过去，服务端返回一个“物品不存在”。后来才知道，物品ID在服务端有白名单校验，客户端发的只是索引，服务端查表。你改索引没用，得改表——可表在服务端内存里，你抓包抓不到。
再后来，官服上了加密。封包头部加了随机种子，每个包用RC4变种加密，密钥跟账号绑定。WPE抓出来的全是乱码。有人尝试逆向客户端，从内存里dump出密钥，但每次登录密钥都变。那段时间外挂论坛哀嚎一片，直到有人放出“脱机挂”——直接模拟客户端协议，不走游戏进程，自己构造加密包。脱机挂的抓包分析更麻烦，得先用OllyDbg跟加密函数，把密钥生成算法抄出来。
我最后一次抓传奇包是2008年。那时候官服已经用上“天网”系统，封包特征检测，你发一个异常坐标，三秒内掉线。私服倒是还能抓，但私服版本杂，每个服封包结构都不一样。有个服把命令码全加了偏移量，你按官服格式发，服务端直接踢人。得先抓几百个正常包，统计出偏移规律。
现在回头看，抓包这活儿门槛不高，但耐心得足。一个封包结构可能藏在几千条数据里，你得一条条比对。WPE的过滤器只能按端口和IP，想按内容过滤？自己写脚本。我见过有人用Perl写解析器，把抓下来的pcap文件转成可读的指令序列。那脚本现在还在我硬盘里，文件名就叫“mir_packet_parser.pl”。
技术本身没变，变的是对抗强度。早期抓包像翻没锁的抽屉，后来是撬保险柜，再后来保险柜还会自毁。但总有人乐此不疲——毕竟，能看见数据在网线上跑，本身就是件挺酷的事。