升级后的王庭换了门牌：魔域新版 soul.exe 的重定位、消息层加密的层间真相，与 24 个 C++ 接口的钉桩

王庭没有宣战，只是悄悄换了门牌——10 月 29 日 18:39，soul.exe 静默更新到 128MB 的新版，一夜之间，攻城者所有标注在城墙上的坐标全部作废。

一、重定位：凭指纹找回四个函数

守卫 281 班的开局是一张全红的偏移表：心跳构建、recv_wrapper、send flush、消息层入口——四个老地址全部失效。但指纹学救了场：心跳代码区磁盘明文且几乎无漂移，0x2537 与 0xa3c9f 两个常量、30 秒间隔的 cmp 0x1e、[conn+0x18020] 缓冲与 ws2_32 调用、u16≤0x3ff 的长度校验——凭这些结构特征，四函数在新版上逐一钉回（0x31f7460 / 0x3302d90 / 0x3302ab0 / 0x33042e0）。当晚 inject_v3 即打通验证：CONN 抓取成功、心跳帧以 30 秒周期流经新消息层入口、RPC 重放心跳 rc=1 且会话不踢——注入通道在换牌的城门上原样复活。

二、层间真相：加密在打包之后

更有价值的战利品是分层结构的修正：msg_entry（消息层入口）抓到的非心跳帧（0xec1c/0xf11c/0x80a/0xee11/0xb3b/0x1650）payload 全部是密文——链路由此定型：UI 逻辑层→打包（明文）→消息级加密→msg_entry→0x10020→整帧 TEA→send。心跳是唯一特例（公式密文自己构造）。这条真相直接改写了注入方略：注入任意消息不再只需知道帧格式，还需要消息级加密函数，或者找到加密之前的打包层直接调用——hook msg_entry 回溯调用栈成为下一步。另有一处诚实的再确认：fdeb 的 VM 化 handler 在静态文件里是熵 6.72 的密文、运行时才解密——静态分析彻底封口。

三、夜间守卫与风控的两面

凌晨的夜间守卫（night_guard.py）自动循环「启动游戏→关弹窗→杀 socket→触发 fdeb→捕获」，却撞上六连登录超时——排查揪出一个意外的根因：ninja-mihomo 核心进程挂了，TUN 空壳，游戏流量裸奔物理网卡；重启恢复后仍超时，残余嫌疑锁定为账号级登录保护（大量自动化重连所致）。守卫 2 号随即改为 30 分钟低频重试到 09:40。风控的另一课写进了军规：主人在看 B 站时，两次前台点击落在了 B 站页面上——禁止在用户用电脑时做前台操作，这条红线从此刻起生效。

四、旧版服务端的调查与定谳

同日的战略讨论回答了另一个方向：「找旧版本服务端，升级成最新版行不行？」调查横跨 GitHub、必应与 RageZone：只有 2014 年停更的 EoEmu 半成品与小圈子流通的老版本国际服泄露端（duaselipar 系列工具可证）。结论框架冷静：服务端与客户端协议/内容强绑定，「升级」等于重新开发；真实可行的是拿老版本泄露端自建自改，而现有的协议知识恰好能辅助理解老服务端的结构——逆向的积累没有白费，只是换了战场。