传统竞技游戏的防作弊模块大多驻留在应用层（Ring3）或在游戏启动时作为动态链接库注入。这种架构存在天然的权限滞后性，一旦外部辅助驱动通过利用已知 WHQL 签名漏洞在内核层抢先加载，应用层反作弊将完全失去对其物理内存映射与虚拟地址转换的可见性。
Riot Vanguard 的核心架构突破在于将核心防御实体下沉至操作系统的最底层。其核心驱动文件 `vgk.sys` 注册为系统启动服务（SERVICE_BOOT_START 或 SERVICE_SYSTEM_START），在 Windows 内核初始化的第一阶段即被 NT 内核装载。这意味着任何企图在游戏运行前挂载的无签名内核模块、虚拟化 Hypervisor 拦截器或 DKOM（直接内核对象修改）技术，都会在 Vanguard 的底层扫描中暴露无遗。
| 指标维度 | 传统应用层反作弊 (Ring3) | Riot Vanguard 内核防御 (Ring0) |
|---|---|---|
| 加载时机 | 伴随 LeagueClient.exe 启动 | 系统开机引导阶段预先加载 |
| 内存可见性 | 受限于虚拟内存隔离保护 | 全局物理页帧与页表监控 |
| 驱动拦截能力 | 无内核权限，无法阻断未知驱动 | 利用 ObRegisterCallbacks 拦截句柄访问 |
| 反虚拟机能力 | 易被虚拟化特征伪装绕过 | 底层硬件寄存器与时钟抖动检测 |
# PowerShell 管理员查看 vgk.sys 内核驱动运行状态与安全签名
Get-WmiObject Win32_SystemDriver | Where-Object { $_.Name -like "*vgk*" -or $_.Name -like "*vgc*" } | Select-Object Name, State, Status, PathName | Format-List
# 验证系统 TPM 2.0 与 Secure Boot 安全启动合规状态
Confirm-SecureBootUEFI
Get-Tpm | Select-Object TpmPresent, TpmReady, ManufacturerIdTxt在 Windows 驱动开发模型中，微端口驱动可以通过调用微软未公开或公开的内核 API 函数 `ObRegisterCallbacks` 向对象管理器注册回调。当任何外部进程尝试调用 `OpenProcess` 获取英雄联盟主进程（`League of Legends.exe`）的访问句柄（Handle）时，Vanguard 的回调函数会被优先触发。
此时，哪怕外部程序拥有管理员权限甚至 SYSTEM 权限，Vanguard 也会在回调中直接剥离请求的关键权限位，将 `PROCESS_VM_READ`（读取内存）、`PROCESS_VM_WRITE`（写入内存）和 `PROCESS_CREATE_THREAD`（创建远程线程）强行置零。外部辅助工具由于无法获取有效句柄，不仅无法读取实体对象与视野坐标，强行非法注入更会直接触发系统级蓝屏或即时封禁。
// 内核驱动伪代码演示：进程句柄创建过滤逻辑
OB_PRE_OPERATION_CALLBACK_STATUS PreOpenProcessCallback(
PVOID RegistrationContext,
POB_PRE_OPERATION_INFORMATION OperationInformation
) {
PEPROCESS TargetProcess = (PEPROCESS)OperationInformation->Object;
if (IsLeagueProcess(TargetProcess)) {
// 剥离读写内存与远程注入权限
OperationInformation->Parameters->CreateHandleInformation.DesiredAccess &= ~PROCESS_VM_READ;
OperationInformation->Parameters->CreateHandleInformation.DesiredAccess &= ~PROCESS_VM_WRITE;
OperationInformation->Parameters->CreateHandleInformation.DesiredAccess &= ~PROCESS_CREATE_THREAD;
}
return OB_PRE_OP_SUCCESS;
}当玩家系统因安装过老旧辅助软件或残留非法驱动，导致 Vanguard 启动报 `VAN 1067` 或 `VAN 9003` 时，必须执行标准系统修复流程：
1. 检查主板 UEFI 是否正确开启 Secure Boot 与 TPM 2.0；
2. 彻底清除注册表中的残留驱动启动项；
3. 执行 Windows 内核映像完整性修复，避免被安全风控算法判定为作弊残留。
# 修复 Windows 内核组件完整性
sfc /scannow
DISM.exe /Online /Cleanup-image /Restorehealth
# 重置 Vanguard 核心服务启动模式
sc config vgc start= demand
sc config vgk start= system
net start vgc