一、HGE引擎自身典型Bug
1. 时间格式兼容性崩溃
HGE引擎对系统时间格式极其敏感。若系统短日期格式设置为“yyyy/MM/dd”或含中文，启动时 !Setup.txt 中的 OpenTime 参数解析错误，导致 M2Server启动后秒退 或 引擎控制器无法读取配置。修复需将系统区域设置中的短日期格式强制改为 yyyy-M-d。
2. 新系统内存保护冲突
在 Windows 10/11 系统下，HGE核心文件 hge.dll 常因内存访问违规触发系统保护，表现为 引擎无响应 或 频繁闪退。必须对 HGE.exe 和 M2Server.exe 强制设置 Windows 7 兼容模式 并勾选“以管理员身份运行”，部分情况需替换专用的 Win10 兼容版 DLL 文件。
3. 登录器与引擎协议不匹配
HGE更新登录器加密协议后，旧版登录器因无法完成握手协议，会直接导致玩家 连接中断 或 进入游戏后掉线。必须使用引擎配套的生成器重新生成登录器，且配置时需严格匹配协议类型与密钥。
4. 渲染与输入坐标偏差
底层图形接口存在缺陷：Gfx_RenderLine 在特定分辨率下绘制竖线会消失；窗口模式下 Input_GetMousePos 获取的坐标因未计算边框偏移，导致 鼠标点击位置与实际响应位置偏差，影响NPC对话及技能释放准确性。
二、脚本与逻辑层高危漏洞（全引擎通用）
1. NPC命令注入刷取资源
原理：NPC脚本未过滤敏感符号（如 /、@），玩家在对话框输入 @StdModeFunc 系列指令直接触发QF脚本函数。
- 典型场景：利用行会招募NPC或二级密码NPC输入 <1/@StdModefunc35>，配合双击回收功能无限刷元宝。
- 修复：在 FilterStr.txt 中严格过滤 @、/、GAMEGOLD 等关键词，并移除NPC的文本写入权限。
2. 封包篡改绕过检测（WPE）
原理：脚本逻辑将“条件检测”与“物品给予”分离（如使用 #CALL 调用子过程），攻击者通过封包工具直接执行给予段脚本，跳过金币扣除和等级检测。
- 案例：正常脚本先检测金币再给装备，封包直接执行给装备段落，导致无限刷裁决。
- 修复：在物品给予段落内部重复校验条件（如检测任务标识变量），严禁将执行逻辑单独封装成可被直接调用的标签。
3. 数据库权限提升
原理：默认数据库账号使用弱密码（如 sa 空密码）或权限过高，攻击者远程连接数据库后，直接修改 TBL_CHAR 表中的 AdminLevel 字段为 10，普通玩家瞬间获得GM权限。
- 防御：修改 DBServer 连接账号为低权限用户，并设置强密码，关闭数据库远程连接端口。
4. 地图穿墙与坐标重叠
原理：MapInfo.txt 中未设置 CHECKDUPLICATE 参数，或地图OBJ文件存在像素缺失。玩家利用走位卡入不可到达坐标（如沙巴克城墙、赤月巢穴石柱），实现 无伤打怪 或 穿墙偷袭。
- 修复：更新地图文件，并在关键地图配置中添加坐标重叠检测。
三、经济系统与复制漏洞
1. 交易复制漏洞
操作：A向B交易装备，在点击“交易”按钮瞬间强行关闭客户端或断网，服务器端因数据回滚机制缺陷，导致装备既在B包中又在A包中，实现复制。此漏洞在部分未更新交易锁机制的引擎中仍存在。
2. 数据溢出刷属性
原理：利用脚本对数值边界检查不严，通过叠加BUFF或使用负数物品，使攻击、防御等属性发生整数溢出，变成极大值（如 255+1 溢出为 0 或 32767+1 变成 -32768），实现秒杀怪物或玩家。
3. 任务逻辑死循环
现象：红名村蟹任务等脚本未在奖励后删除任务物品，玩家可重复交付道具获取无限金币。此非引擎BUG，纯属脚本编写疏漏，需在任务脚本末尾强制添加 TAKE 命令。
四、防御与修复要点
1. 脚本安全审计：全局搜索 GAMEGOLD、CHANGEPERMISSION 命令，确保所有NPC交互均有前置条件检测（等级、货币、物品）。
2. 网络层加固：关闭不必要的数据库端口（1433），使用防火墙屏蔽 WPE 等封包工具的进程名。
3. 引擎补丁更新：针对HGE引擎，务必替换官方发布的最新 hge.dll 运行库，解决内存读写崩溃问题。
4. 日志监控：定期检查 DBServer 日志中的元宝异常变动记录，及时发现封包攻击行为。
