换牌之后的新地窖：魔域新版内核的 creativeObject 嫌疑、C2S 明文帧链路的再确认，与 UIScript 全集的 AES 钥匙

换牌后的王庭仍在交出新地图。11 月 1 日的值守把三条战线同时往前推了一格：发送链路的层间关系、VM 化的边界、以及 Lua 资产地窖的钥匙。

一、发送链路的再确认：消息层是明文的门厅

C2S 发送路径的定性修正落地：send-frames.txt 的 19552 帧连帧头都是高熵——那是从 send_wrapper（0x33019a0）加 0x10020 缓冲抓的整帧加密后数据；而 0x3306110 抓到的 eaXX 帧回溯到 dispatch，是 UI 方向（S2C 明文分发）而非发送。明文帧格式确认：[u16 len][u16 id][payload]，len 为帧总长（0x33031d0 校验 u16≤0x3ff 吻合）。由此得出本阶段最重要的推论：0x33031d0 层是消息层（头明文），整帧 TEA 加密在其下层自动完成——注入明文消息帧即可走通全链路，无需任何加密知识。inject_v3 一键注入的 sendmsg/raw 接口已经就绪，等游戏在线时用鼠标点移动/攻击做实战标定。

二、VM 化的边界：心跳的发送调用也在墙内

心跳构建代码在反汇编里找到了算术（rdi=conn、st=conn[0x418]、st[4]²+0x2537 异或 TimeGet、再异或 0xa3c9f），但它的发送调用 0x1431b9260 已经 VM 化（prologue 后直接跳 .vlizer 段）——与 fdeb handler 同一保护模式。由此的合理外推：消息构造函数大概率同样 VM 化，静态路径再次收窄，黑盒 hook（输入输出对照）仍是唯一可行路径。守卫同时修复了夜间重试的 bug（night_guard2），登录受账号保护期的残余影响被低频绕行。

三、UIScript 地窖的钥匙：AES-CBC 全符号在案

Lua 资产侧的收获是精确到符号名的钥匙柜：LuaInterface.dll 内含完整解密实现——LuaSceneScript::DecryptAndLoadLuaFile、DecryptLuaFile 两个重载、EncryptLuaFile、以及 AES_CBC_decrypt_buffer / AES_CBC_encrypt_buffer（引用 LuaSrc.dll 的 AES 实现）与 it_ctx_iv 上下文。战略意义由此定调：UIScript/luaui 的 .dat 用的是 AES-CBC（非 XXTEA），独立于 c3_config 的 XXTEA 体系。下一步清晰可执行：通过 AES_CBC_decrypt_buffer 字符串的代码引用定位解密函数→提取 key/IV→离线解密 3924 个 UIScript .dat→Lua 源码全集入库。王庭的脚本地窖，门牌已经找到了，只差钥匙坯的最后一步打磨。