传奇sf漏洞扫描工具

《传奇sf漏洞扫描工具》

去年冬天，传奇一个开传奇私服的漏洞朋友半夜给我打电话，声音都变了。扫描他说服务器被人刷了元宝，工具数据库里凭空多出几十亿，传奇玩家在土城站了一排，漏洞全是扫描复制出来的装备。我问他怎么发现的工具，他说有个玩家私聊他：“服主，传奇你数据库3306端口对外开放了，漏洞我帮你扫了一下，扫描漏洞有17个。工具”这哥们当时就懵了——帮他扫漏洞的传奇，就是漏洞另一个私服圈子里专门做漏洞扫描的人。

传奇sf的扫描漏洞扫描工具，跟正规网络安全工具完全不是一回事。正规扫描器扫的是CVE、OWASP那些东西，传奇sf的扫描工具，扫的是“这个服能不能被刷元宝”“那个服能不能被提权拿GM权限”。我见过一个叫“传奇猎手”的工具，界面粗糙得不行，就一个黑框，输入IP段，点开始，然后哗哗往外吐结果。它会自动尝试弱口令、默认GM账号、老版本引擎的已知后门，甚至能识别出对方用的是HeroM2还是GOM引擎。不同引擎的漏洞点不一样，HeroM2有个老版本，登录网关那里有个溢出点，能直接拿到服务器权限。GOM的话，更常见的是数据库注入。

这些工具怎么来的？大部分是圈内人自己写的。有个做传奇技术的老哥，网名叫“老马”，他跟我说过，他写扫描工具纯粹是因为被人搞烦了。他自己的服被人连着打了三个月，每次都是同一个漏洞，修好了又被换个姿势打。后来他索性写了个扫描器，把市面上常见的传奇服务端漏洞全集成进去，先扫别人，看看还有谁在用同样的漏洞。结果扫着扫着，他发现整个私服圈就是个筛子。他给我看过一份扫描结果，一个IP段里200多个传奇sf，有130多个存在高危漏洞，其中40多个能直接拿到数据库权限。

这东西用起来有讲究。直接扫大站，容易触发防火墙，IP直接被封。老手都是先扫小服，小服防护差，扫到了也不容易被发现。扫到之后，也不是马上动手，先挂着，看这个服有没有其他人在搞。有时候你扫到一个漏洞，正准备用，发现已经有人在你之前动手了，数据库里全是别人刷的元宝。那就得换目标。我见过最离谱的，一个服同时被三拨人刷，服主第二天上线，发现元宝数量变成了负数，装备栏里全是GM专用装备。

法律上这事挺模糊的。传奇sf本身就是侵权的，服务器架在境外，数据乱七八糟。你扫漏洞，算不算违法？理论上算，但实际没人管。除非你把人服务器搞崩了，或者把数据删了，服主才会报警。大部分服主被扫了，第一反应不是报警，是赶紧关服，换个IP重新开。因为报警等于自曝——你这服本身就是非法的。

我认识一个做扫描工具的人，他有个原则：只扫，不拿。扫到漏洞，截图发给服主，提醒他修。服主给红包就收，不给就算了。他说这行做久了，看多了，觉得没意思。你扫我，我扫你，最后谁都没赚到钱，全便宜了卖服务器和卖防护的那帮人。他去年不做了，把工具源码公开了，现在网上流传的很多扫描器，都是从他那个版本改的。

工具本身没有善恶。有人用它提醒别人，有人用它搞破坏。传奇sf这个圈子，从2002年到现在，二十多年了，漏洞从来没断过。引擎在更新，工具也在更新，但本质没变——只要还有人开服，就有人扫漏洞。就像老马说的：“你修你的，我扫我的，大家各凭本事。”