传奇私服梦回熊猫漏洞

《传奇私服梦回熊猫漏洞》这事，传奇我最早是私服在一个老玩家的微信群里看到的。有人发了张截图，熊猫角色背包里凭空多出两百多只“梦回熊猫”，漏洞属性栏全部显示为+65535。传奇群里炸了锅，私服有人说这是熊猫GM自己刷的，有人说是漏洞挖矿脚本卡出来的。吵了半小时，传奇最后有个叫“土城老兵”的私服号冒了句：你们懂个屁，这是熊猫封包漏洞，跟当年赌场刷金一个路子。漏洞

我后来专门找了那个服进去看。传奇梦回熊猫这个版本用的私服是GOM引擎，服务端是熊猫1.76复古底子改的，但加了宠物系统。熊猫本身是稀有宠物，正常爆率大概万分之一，带麻痹和吸血。漏洞出在宠物融合的封包校验上——客户端发送融合请求时，服务端只检查了主宠物的ID和数量，没校验副宠物是否真实存在。简单说，你抓一只熊猫，再伪造一个“副宠物”的封包数据，填个不存在的ID，服务端照样按成功处理，还给你返还一只新的熊猫。循环操作，熊猫就无限复制。

这漏洞不算高级，甚至有点粗糙。但问题在于，发现它的人没拿去卖钱，而是直接刷了满城。土城安全区密密麻麻全是熊猫，走一步卡三步。GM一开始以为是玩家开挂，封了一批号，结果第二天又冒出来。后来查日志才发现，封包里的宠物ID全是负数，服务端根本没做边界检查。这种代码水平，放在2003年都算业余，可偏偏就有人靠这个在私服圈里赚了一波——卖漏洞教程，一份两百块，据说卖了三百多份。

我观察到一个细节。那个服开区第三天就关了，公告说“服务器维护”，但群里有人截图，GM在另一个新服里继续开梦回熊猫版本，只是把融合功能关了。老玩家管这叫“打一枪换一个地方”。私服圈就这样，漏洞不是用来修的，是用来判断这个版本还能不能继续捞钱的。能捞就捞，不能捞就关，换个名字重开。玩家呢？有人骂，有人换服，也有人专门盯着新开的梦回熊猫，等着漏洞复现。

说实话，这种漏洞在传奇私服里太常见了。从早期的“刷金条”到后来的“卡装备”，本质都一样——服务端信任客户端，或者校验逻辑有缺口。GOM引擎的很多老版本源码被改来改去，加功能的人未必懂安全，懂安全的人又懒得改私服。梦回熊猫这个漏洞之所以被记住，不是因为技术多高明，而是因为它把“宠物”这个新系统和“封包复制”这个老问题撞到了一起。就像把一根铁钉插进塑料水管，不炸才怪。

我后来试过在单机版里复现这个漏洞。用WPE抓包，把融合请求里的副宠物ID改成0xFFFFFFFF，服务端果然返回了成功。但单机版没意思，没人围观，也没人骂你。私服的乐趣一半在游戏，一半在混乱。梦回熊猫漏洞就是那种混乱的缩影——代码的漏洞、运营的短视、玩家的投机，全挤在一个小小的封包里。土城老兵后来跟我说，他靠这个漏洞刷了四千多只熊猫，换了三套顶级装备，然后服关了，装备也没了。“就跟做梦一样，”他说，“醒了啥都没剩下。”

现在偶尔还能看到一些复古服打着“梦回熊猫”的旗号，但融合功能基本都重写了。老玩家进去第一件事就是试漏洞，试不出来就退服。这大概就是私服的宿命——漏洞养活了它，也杀死了它。而那个最初的漏洞，连个CVE编号都没有，只在几个QQ群里流传过截图。没人再提了。

最新评论