脚本外挂犯罪（二）：从外挂程序功能鉴定上争取不构成犯罪

张洪强律师外挂犯罪案件总结，禁止转载复制

制作游戏外挂、脚本违法吗？构成犯罪吗？

答：不一定，并不是所有的游戏脚本外挂程序都构成刑事犯罪。

外挂程序功能的认定，是给外挂定罪定性最重要最关键的部分，只有通过鉴定，认定外挂程序属于破坏性程序、非法侵入、控制程序，制作外挂的行为才构成相关计算机犯罪。

例如，我遇到的一起案件，因无法做鉴定，最终嫌疑人的行为难以被认定为犯罪。

外挂脚本程序，是否具有非法侵入功能、非法控制功能、破坏功能是制作者、售卖者是否构成犯罪的关键点。

这三种功能，可以表现为以下四种技术情形。

①突破游戏的安全保护措施。

②调用客户端的内存函数或者内存地址、读取游戏数据。

③修改功能函数，对游戏实施了未授权的增加、修改操作。

④通过拦截、分析客户端和服务器之间往来的数据，提取到相关数据并进行修改。

下面，我就说一下，如何通过外挂程序功能性鉴定来争取无罪和罪轻。

一、检材来源问题。

公安机关在委托司法鉴定机构对涉案的外挂程序进行鉴定时，需要向鉴定机构移送他们提取的外挂程序，这个被移动的用于鉴定的外挂程序，就是用于鉴定的检材，如果检材来源不明，或者检材提取程序不合法，则无法保证鉴定的针对性、客观性，总结我遇到的外挂类案件，在鉴定检材方面经常存在以下问题。

1、检材来源不明的问题。

①注意：没有检材外挂程序的提取笔录。按照取证规定，对电子程序进行提取要制作笔录，符合技术条件，并且要有见证人在场。

②检材提取的时间与送检的时间。

因游戏外挂一般有多个版本在售，要注意通过检材提取时间来确认同一性。

在一起外挂案件中，检测报告中“星火4.07B版本vmp.exe”是在2018年4月7日在网上发布，而被告人在2018年3月22日其已被羁押，显然无法证明外挂的一致性。

③提取检材、送检检材、被鉴定检材的名称、哈希值是否一致的问题。

2、检材来源于证人而非嫌疑人那里。

有一起外挂案件，警方从嫌疑人那里没有提取到外挂程序，而是从外挂使用者那里提取了一款外挂程序用于鉴定，而外挂使用者有多个渠道购买外挂，且市面上有多款类似的外挂，通过外挂使用者的购买记录，无法确认被鉴定的外挂程序就是嫌疑人制作、售卖的。

③检材来源于新制作的外挂，无法确认同一性。

我在山东处理过一起案件，被告人被抓以前，已经将自己制作的外挂全部删除了，警方为了办案，让嫌疑人又重新制作了一款外挂用于鉴定，显然不能证明外挂的同一性。

二、鉴定过程是否符合技术标准和规范要求。

司法鉴定机构鉴定人员在鉴定时是否按照司法鉴定检验的一系列国家标准和行业标准，是我们要重点审查的。

①《电子数据司法鉴定通用实施规范》

②《电子物证软件功能检验技术规范》

③《声像资料鉴定通用规范》（SF/Z JD0300001-2010）

三、鉴定结论如何理解的问题。

1、有些鉴定机构出具的鉴定意见比较模糊，不能够对外挂具体运行机理做详细说明。例如：

①只是写明网络游戏外挂具有破坏性等概括性描述。

②只是写明“改变软件的运行过程、结果”或“对游戏的正常操作流程和正常运行方式造成了破坏”的模糊描述。

因为鉴定意见中 ，没有将外挂程序的运行机理讲通、讲透，经常会出现难以正确适用法律的情况。

2、鉴定结论如何转化成法律术语的情况。

这些鉴定意见都是计算机技术层面的专业术语，在司法实践中如何运用，进一步转换成审理案件的重要参考意见则需要结合我国《刑法》规定的犯罪要件作进一步的法律判断。

技术人与法律人对专用名词、专门问题的理解不同，鉴定人员因为缺乏对法律法规的理解，无法使用准确的法律用语来描述软件的法律属性。

如某鉴定机构的鉴定报告中认为“送检程序具有避开专门为游戏采取的安全保护措施、未经授权获取游戏内存数据，以达到自瞄、透视等特定功能，是一种破坏性程序”

此处的破坏性程序该如何理解，能不能按照破坏性程序，来认定该外挂具有破坏性，给定破坏计算机信息系统罪。

实际上，单纯的获取数据，属于非法获取行为，不属于刑法第286条所规制的“破坏”行为。鉴定技术人员的表述存在此种问题，

这种表述、理解上的不对称性，对司法实践中准确认定外挂的性质、是否应当适用刑法加以打击、适用何条款进行打击产生了相当大的影响。

要准确对外挂进行定性、适用法律规定加以规制，就必须对可能涉及到的数个罪名有准确理解。

3、争取不被认定为：非法侵入、非法控制、破坏行为。

在准确理解什么是非法获取数据行为、什么是计算机信息系统的前提之下，对外挂程序非法获取数据、控制系统、破坏系统的相关罪行为，才能做出相对客观的判断。

①“数据封包”和“游戏客户端”不应被认定为“计算机信息系统”。

构成计算机犯罪的前提是侵入、控制、破坏计算机信息系统，而“数据封包”和“游戏客户端”不应被认定为“计算机信息系统”。

依据：《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第十一条第一款规定，本解释所称“计算机信息系统”和“计算机系统”，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。

根据以上司法解释的规定，计算机信息系统应是具备自动处理数据功能的设备。

A、数据封包并非具有自动处理数据功能的设备，不属于计算机信息系统；

B、客户端安装在用户自己的电脑上，不可能认为用户自己侵入自己的计算机信息系统。

因此，计算机犯罪中的“计算机信息系统”应指服务器，而不是客户端和数据封包，不应将“计算机信息系统”不合理地扩大解释为包括“客户端-数据封包-服务器”的整个游戏进程，而实践中的网络游戏外挂绝大部分都是作用于客户端和数据封包的，因而不满足该罪的“计算机信息系统”要件。

对于游戏运营商的服务器计算机系统而言，外挂程序虽然修改

了客户端与之传送的数据封包，造成服务器一定负担，但并未入侵游戏服务器，也没有修改服务器中的数据，因此不能认定为侵入服务器的计算机系统。

②争取认定为“不具有非法控制功能”。

外挂虽经不法手段获取游戏数据修改权限，但远达不到控制计算机系统的程度。，“非法控制”要求对计算机信息系统产生排他性支配，而网络游戏外挂只是通过对客户端或数据封包的数据进行修改，实现游戏本不具有的功能，并未对游戏程序产生排他性支配，因而也不宜将其认定为“非法控制计算机信息系统的程序、工具”

③、游戏外挂程序是否属于“破坏性程序”；

A、根据运行原理，数据修改类外挂存在侵入客户端，复制修改客户端程序数据的行为，不可否认其具有侵入性的特点，但是，数据修改类外挂不存在对计算机信息系统功能进行删除、修改、增加、干扰，其劫持的是数据封包，对计算机信息系统功能不具备影响力。

B、从行为人的主观目的来看，外挂开发者和销售者是为获取高额利润而制作或销售，其正常运行也需要依赖于安全的计算机信息系统和网络系统，其不能也不想造成原游戏服务器不能正常运行。因而数据修改类外挂不具备破坏计算机信息系统安全的目的，不属于破坏计算机信息系统安全的犯罪意义上的“破坏性程序”。

④所造成的后果是否达到“后果严重”的程度。

外挂开发者销售者提供外挂的行为并未使网游服务器的其他用户不能使用，或造成网服务器系统瘫痪，也没有扰乱服务器的正常运行功能，对于使用外挂增加自身游戏账号能力以及账户金币等行为不能归结于此罪中的“违法所得”，因此评价为“后果严重”不符常理。

一般而言，外挂通过破坏原程序的技术保护措施，未经授权或超越授权对计算机信息系统进行访问、使用。其干扰了主程序的正常运行，但尚未达到破坏计算机信息系统的程度。此种情形就不宜以破坏计算机信息系统罪论处。

作者：张洪强律师，禁止转载复制。有需要交流的可以搜索张洪强律师网站、电话。

张洪强律师网络犯罪研究专题

脚本外挂犯罪(一)：从外挂程序开发技术上争取无罪。

脚本外挂犯罪 (二)：从外挂程序功能鉴定上争取无罪。

脚本外挂犯罪 (三):外挂犯罪案件从证据上争取无罪。

游戏私服犯罪研究：如何争取最轻的处罚。返回搜狐，查看更多