IL2CPP是Unity游戏的核心脚本后端，将C#代码编译为native代码以提升性能。然而，IL2CPP的元数据结构可被工具提取，导致游戏类结构和方法签名完全暴露。金丝雀安全提供专业的IL2CPP保护方案。
IL2CPP面临的安全威胁
Zygisk-Il2CppDumper等工具通过Zygisk框架注入游戏进程，hook il2cpp_init函数，遍历IL2CPP元数据结构并生成dump.cs文件。该文件包含游戏所有类定义、方法签名、字段信息，相当于游戏源码的完整映射。
金丝雀安全IL2CPP保护策略
三层防御体系
- 第一层：init早期检测 - 游戏启动即扫描历史dump文件，发现铁证立即处理
- 第二层：高速监控线程 - 50ms轮询扫描数据目录所有.cs文件，发现Il2CppDumper输出立即删除并触发闪退
- 第三层：循环检测备份 - 持续监控确保无遗漏
不依赖固定文件名
检测策略不依赖固定文件名（如xxx-dump.cs），而是扫描数据目录下所有.cs文件并验证内容特征。攻击者修改输出文件名仍可被检测到。
内容验证确保无误删
通过验证文件内容是否以Il2CppDumper特征格式（"// Image N: xxx.dll"）开头，确保只删除真正的dump文件，不会误删正常文件。Unity游戏运行时不会在数据目录生成.cs源代码文件，误删风险为零。
IL2CPP保护效果
检测到dump行为后立即删除dump文件并杀死游戏进程，攻击者无法获取完整的IL2CPP元数据。即使dump工具成功执行，生成的文件也会在毫秒级被销毁。