传奇版本后门漏洞排查：脚本命令、权限配置、关键文件与日志监控完整教程

传奇版本后门通常藏在脚本命令、NPC触发、回收合成、权限配置、管理员列表、登录触发、双击触发和外部插件中。排查时不要只盯着一个文件，要把Mir200Envir目录、M2Server设置、RunGate配置、数据库和日志串起来查。下面按实际排查顺序整理，适用于HeroM2、GOM、GEE、BLUE等常见引擎，具体命令和路径以版本为准。

一、先排查QFunction-0.txt和QManage.txt

这两个文件是后门高发区。QFunction-0.txt负责双击物品、攻击命中、技能命中、穿戴、回收、地图触发；QManage.txt负责上线、下线、升级、转生等触发。

重点检查：

是否有无条件的GAMEGOLD+、GAMEDIAMOND+、Give、ChangeLevel、BONUSPOINT、POWERRATE等命令。
是否有CHANGEPERMISSION、CHANGEMODE、AdminList写入、管理员权限提升类命令。
是否有检测某个冷门物品后直接发元宝、发装备、改权限的逻辑。
是否有@StdModeFuncX、@MagHit、@Attack、@SkillHit、@TakeOn、@TakeOff、@KillMonster、@Login等标签中出现无条件奖励。
是否有DELAYGOTO、TIMER、Robot调用隐藏脚本，形成定时刷资源后门。
是否有写入外部文本、公告、行会信息、数据库的异常命令。

二、扫描Envir目录下的高危命令

使用文本搜索工具，对Mir200Envir目录进行批量检索。重点搜索以下关键字：

GAMEGOLD+
GAMEDIAMOND+
Give
ChangeLevel
CHANGEPERMISSION
CHANGEMODE
POWERRATE
BONUSPOINT
SetShopItemPriceRate
ThrowItem
Mine
AddTextListEx
AdminList
Take
CheckItem
DELAYGOTO
Robot
@StdModeFunc
@Login
@MapQuest

搜索结果出来后，不要只看命令本身，要看IF条件是否完整。例如Give前面必须有CheckItem、Take、CheckLevel、CheckJob等限制；回收脚本必须有Take扣物品，再给元宝或积分。

三、重点检查回收和合成脚本

回收脚本是最容易出无限刷资源漏洞的地方。常见问题是检测到物品后直接给元宝，但没有Take扣走原物品。

正常写法应为：

IF
CHECKITEM 裁决之杖 1
ACT
TAKE 裁决之杖 1
GAMEGOLD + 100
SENDMSG 7 回收成功。
BREAK

如果脚本中只有CheckItem和GAMEGOLD+，没有Take，就存在重复回收漏洞。合成脚本也要检查，防止合成后原物品不消失，或者合成材料可重复使用。

四、检查NPC脚本和Merchant.txt

Merchant.txt记录NPC名称、地图、坐标和脚本文件。排查时要看是否存在异常NPC，例如名称伪装成普通功能，实际触发刷元宝、改权限、发装备。

检查方法：

打开Merchant.txt，核对每个NPC对应的脚本文件。
对Market_Def目录下的脚本逐个检查，尤其是回收、兑换、升级、转生、称号、VIP、充值模拟类NPC。
查看NPC是否有无条件Give、GameGold+、ChangeLevel、Permission修改。
检查NPC是否通过特定物品触发隐藏功能，例如携带某冷门道具后出现额外菜单。
检查公告、行会招募、二级密码等NPC是否存在写入权限过大问题。

五、检查管理员列表和权限配置

后门不一定直接刷元宝，也可能悄悄提升账号权限。需要检查AdminList.txt、M2Server管理员列表、管理命令权限。

排查点：

AdminList.txt中是否有陌生账号。
M2Server中管理员列表是否有非本人添加的GM号。
管理命令权限是否为0。若为0，普通玩家也可能执行管理命令，建议设为1到10之间。
是否存在脚本自动写入管理员名单，例如通过AddTextListEx、NPC对话、物品触发等方式写入AdminList。
是否存在CHANGEPERMISSION、CHANGEMODE等命令无权限校验。

六、检查登录触发和上线奖励

QManage.txt中的@Login是上线触发入口。部分后门会在这里加入隐藏奖励，例如检测某个变量、某个物品、某个IP段后发放元宝或装备。

排查方法：

打开QManage.txt，检查@Login下是否有Give、GameGold+、ChangeLevel。
检查是否有CALL、GOTO跳转到隐藏标签。
检查是否有检测U变量、N变量、S变量后触发异常奖励。
检查是否有Robot调用定时任务，在玩家上线后延迟执行后门逻辑。
检查是否有写入外部文件或数据库的命令。

七、检查双击触发和StdModeFunc

物品数据库中StdMode为31的物品双击后会触发QFunction-0.txt中的@StdModeFuncX脚本。部分后门会把刷元宝逻辑藏在某个不起眼的道具里。

排查步骤：

打开物品数据库，查找StdMode为31的物品。
记录每个物品对应的AniCount数值。
在QFunction-0.txt中搜索对应@StdModeFuncX。
检查该脚本是否有无条件Give、GameGold+、ChangeLevel、Permission修改。
检查是否通过检测冷门物品触发隐藏功能。

八、检查地图触发和怪物掉落

MapQuest目录、QFunction-0.txt中的@MapQuest、@KillMonster、@EnterMap、@Run等事件也可能藏后门。例如进入某地图后自动发奖励，或击杀某怪物后掉落异常物品。

重点看：

是否有进入地图后无条件Give。
是否有击杀怪物后掉落非配置物品。
是否有地图触发中写入变量，再由其他脚本读取变量发放奖励。
是否有ThrowItem在指定坐标刷装备。
是否有Mine命令异常触发挖矿或资源产出。

九、检查Robot定时任务和外部调用

部分后门不会立即触发，而是通过Robot定时执行。需要检查Robot.txt、RobotManage.txt以及脚本中的DELAYGOTO、TIMER、CALL命令。

排查点：

RobotManage.txt中是否有异常定时任务。
Robot.txt中是否有刷元宝、改权限、写管理员列表的标签。
是否有脚本调用外部程序、外部文本、外部数据库。
是否有定时清空日志、隐藏变量、恢复后门变量的逻辑。
是否有脚本在固定时间给特定账号发奖励。

十、检查数据库和物品配置

后门不一定只写在脚本里，也可能通过数据库配置实现。需要检查StdItem.db、Magic.db、Monster.db、Skill配置等。

检查内容：

是否存在名称异常的物品，例如“测试元宝”“内部道具”“VIP激活石”。
是否存在价值异常、属性异常、叠加异常的装备。
是否存在可通过脚本直接Give的高价值物品。
是否存在技能或称号附带异常属性加成。
是否存在商铺物品价格被脚本无条件修改。

十一、检查M2Server和RunGate配置

M2Server和RunGate中的权限、命令、速度、日志设置也会影响安全。若管理命令权限过低，玩家可能通过命令刷资源。

排查项：

管理命令权限是否全部关闭或设为0。
是否有未知GM命令可被普通玩家使用。
RunGate是否有异常插件加载。
日志是否开启，是否记录元宝、物品、等级、权限变更。
是否有未知外部插件、登录器补丁、登录网关模块。

十二、检查日志和异常数据

日志是发现后门的重要证据。若版本开启日志，可通过日志查看异常刷元宝、异常发装备、异常改权限行为。

重点看：

元宝、金刚石、积分突然增加的记录。
高等级物品被无条件Give的记录。
管理员权限变更日志。
某个账号频繁触发同一NPC或同一脚本标签。
某个IP或账号在上线后立即触发异常奖励。
日志被清空或日志文件缺失的情况。

十三、加密脚本的处理

部分版本脚本会被加密，无法直接查看。遇到加密脚本时，不能直接跳过，应确认该脚本是否来自可信来源。

处理方式：

优先使用引擎自带脚本加密器对应的解密工具。
解密前备份原始脚本。
解密后重新按上述流程检查高危命令。
若脚本来自陌生版本包，建议不要直接上线使用。
对无法解密的脚本，应限制其触发权限，或通过日志监控其执行情况。

十四、服务器层面也要查

版本后门可能只是入口之一。如果服务器本身被入侵，脚本即使干净也可能被再次写入。

需要检查：

服务器远程端口是否修改，是否使用弱密码。
是否有未知管理员账号。
是否有异常启动项、计划任务、定时脚本。
是否有未知外联进程或异常端口监听。
是否有未知上传文件、Webshell、外部控制程序。
日志是否被篡改或删除。

十五、建立排查清单

拿到新版本后，建议按以下顺序检查：

备份完整版本包。
扫描Envir目录高危命令。
检查QFunction-0.txt和QManage.txt。
检查回收、合成、兑换脚本。
检查Merchant.txt和Market_Def脚本。
检查AdminList和管理命令权限。
检查StdModeFunc双击触发。
检查地图触发和怪物掉落。
检查Robot定时任务。
检查数据库物品和技能配置。
检查M2Server和RunGate权限。
开启日志并观察异常数据。
检查服务器系统安全和外联情况。

十六、常见后门特征

无条件Give元宝、装备、等级。
回收物品不扣Take。
检测冷门物品后触发隐藏奖励。
上线自动写入管理员或提升权限。
定时任务刷资源。
双击某个不起眼道具触发异常功能。
商铺价格被脚本无条件修改。
日志被清空或异常缺失。
脚本中调用外部程序或外部文本。
服务器出现未知账号、未知进程、未知外联。

十七、注意事项

排查前必须先备份版本，避免误删导致服务端无法启动。

高危命令本身不一定都是后门，关键看是否有完整IF条件、Take扣减、权限校验和日志记录。

回收、合成、兑换类脚本必须做到“先扣后发”，不能只发不扣。

管理员权限和管理命令权限必须严格限制，普通玩家不应拥有任何管理命令执行权。

加密脚本来源不明时，不要直接用于正式环境。

日志必须开启，并定期查看元宝、物品、等级、权限变更记录。

服务器安全同样重要，弱密码、默认远程端口、未限制访问IP都会增加被写入后门的风险。