漏洞类型识别与手动查找方法：脚本漏洞分为权限漏洞、元宝漏洞、物品漏洞、插件漏洞四大类。权限漏洞表现为普通玩家能执行管理员命令，如CHANGEPERMISSION（设置玩家权限）、CHANGEMODE（设置隐身/管理/无敌模式）。元宝漏洞通过GAMEGOLD+命令给玩家加元宝，常见于双击触发物品脚本。物品漏洞利用give命令无条件给予装备，或回收脚本缺少take命令导致重复刷装备。插件漏洞通过IPLocal.dll等插件文件远程控制服务器，隐藏性极强。
手动查找漏洞从检查管理员权限开始。打开M2Server.exe，依次点击【选项】-【游戏命令】-【管理命令】，查看每个命令所需权限。若发现权限要求为0的命令，立即修改为1-10之间。检查AdminList.txt文件，删除AddTextListEx .\AdminList.txt这类会将玩家名写入管理员名单的代码。搜索版本脚本中的GAMEGOLD、GAMEDIAMOND、POWERRATE、give、ChangeLevel、BONUSPOINT、CHANGEPERMISSION 10、setshopitempricerate、throwitem等关键词。特别注意QFunction-0.txt中的双击触发代码，如[@StdModeFunc32]配合#ACT GAMEGOLD + 5，需核对物品数据库StdItems.DB中对应物品的Anicout编号是否重复。
脚本查看器使用与漏洞检测：传奇脚本查看器（如LegendsScriptViewer）加载脚本文件后，启用语法高亮与错误检测功能。查看器自动标记未闭合的IF-END结构、拼写错误的命令（如FORALLPLAYERS写成FORALLPLAYER）、使用全角中文符号代替半角符号等语法问题。高级模式支持批量搜索漏洞关键词，输入GAMEGOLD+后查看器列出所有包含该命令的脚本及行号，点击跳转至具体代码段分析上下文逻辑。
查看器检测行会招募NPC与二级密码NPC漏洞。这两类NPC的写入功能常被利用，通过输入特定格式代码（如11/@@inputstring20）配合软件调用刷出元宝。查看器标记出所有包含inputstring、inputinteger命令的脚本，需逐一检查是否设置严格的条件检测。对于封包刷漏洞，查看器模拟WPE封包发送，检测脚本是否能跳过条件判断直接执行give命令。示例脚本[@获取]#IF#ACTgive 裁决 1因缺少条件检测可被无限刷，查看器会标记为高风险。
常见漏洞关键词与检测逻辑：权限类关键词包括CHANGEPERMISSION、CHANGEMODE、AdminList。检测时查看这些命令是否被#IF条件限制，如#IF ISADMIN才允许执行，若直接#ACT则为漏洞。元宝类关键词包括GAMEGOLD+、GAMEDIAMOND+、CREDITPOINT+。检测脚本是否在给予元宝前用take命令取走对应物品，或设置CHECKGOLD、CHECKITEM等条件限制。物品类关键词包括give、throwitem。检测give命令是否被无条件执行，或throwitem是否允许玩家在任意坐标刷装备。
插件漏洞关键词包括IPLocal、PlugDir、PlugList。在D:\MirServer目录搜索IPLocal.dll和iplist.db或QW.DB文件，找到后全部删除。打开!Setup.txt删除PlugDir=.\Map\或PlugDir=.\字段。清空PlugList.txt内容，搜索脚本中的IPLOCAL关键词并删除。这类漏洞查看器通常无法直接检测，需手动排查。
漏洞修复步骤与脚本加固：发现漏洞后立即备份原脚本，用记事本或Notepad++打开修改。权限漏洞修复将管理命令权限从0调整为1-10，或在命令前添加#IF ISADMIN条件。元宝漏洞修复在GAMEGOLD+前添加CHECKITEM检测对应物品，并用take命令取走物品。示例修复代码：#IF CHECKITEM 元宝凭证 1 #ACT take 元宝凭证 1 GAMEGOLD + 500。
物品漏洞修复确保give命令前有严格条件检测。采用标识变量防止封包跳过检测，示例：正常双击物品时用#ACT set [789] 1，执行段用#IF check [789] 1 #ACT set [789] 0 give 裁决 1。插件漏洞修复按前述步骤删除相关文件与字段后，重启服务器测试功能是否正常。
脚本加固遵循“检测放在执行段”原则。所有涉及资源发放的脚本，条件检测必须紧邻执行命令，中间不得插入#CALL调用。变量使用后立即清零，避免被重复利用。关键NPC脚本添加时间戳检测，防止短时间内重复执行。定期使用脚本查看器扫描更新后的脚本，确认无新增漏洞。
实战排查流程与工具配合：建立系统化排查流程。第一步使用脚本查看器批量扫描GAMEGOLD、give等关键词，标记所有可疑脚本。第二步手动检查标记脚本的逻辑完整性，重点查看条件检测与命令执行顺序。第三步测试漏洞，创建测试账号模拟玩家操作，尝试触发可疑脚本验证是否真存在漏洞。第四步修复并验证，修改后重启服务器，用测试账号再次操作确认漏洞已修复。
配合M2引擎日志分析。打开M2Server的日志模块，查看脚本错误记录。错误信息标注文件名、行号、错误类型（如语法错误、未定义变量）。结合日志与脚本查看器定位问题更精准。启用引擎的脚本调试功能，在M2【选项】中勾选“启用脚本调试”和“显示详细执行过程”，实时查看脚本执行步骤。
预防漏洞需规范脚本编写习惯。建立命令手册对照引擎支持命令，确认格式和参数要求。编写脚本时小步测试，完成一个标签（如[@storage]）立即测试功能，避免错误堆积。保留历史版本备份，每次修改前复制脚本并标注日期，出错时可快速回滚。定期更新引擎版本，新版本通常修复已知安全漏洞。
掌握脚本漏洞查找与修复方法能有效保障游戏平衡。建议管理员将漏洞排查纳入日常维护，每周使用脚本查看器扫描关键脚本，每月全面检查权限设置与插件文件。发现漏洞及时修复并记录，逐步完善脚本安全体系，为玩家提供公平稳定的游戏环境。
