传奇服务端被黑应急手册：第一小时止损、入口排查与重建判断

私服是被黑重灾区：充值后台弱口令、3306 直连、网页模板带后门，每一条都是现成的入口。被黑后的前 60 分钟决定损失规模——这期间最忌讳两件事：直接重装（证据全没了）、只改密码不排查（第二天原样再黑一遍）。

第一小时：止损顺序

1. 断对外服务：先停网关与登录入口，保留 M2 进程现场，别拔电源；
2. 改三组密码：服务器 root、数据库、充值后台，全部换新，别在旧密码上打补丁；
3. 快照取证：打包网关日志、充值后台日志、异常时间段的文件清单与新增账号列表，转存到本机留证；
4. 盘点损失：元宝发放记录、GM 号操作日志、玩家资产异常变更，按时间线拉清单。

日志怎么读、去哪找，方法见引擎日志解读。

入侵路径排查清单

私服场景里充值后台与网页后台是被打最多的两个口子，端口的整体规划见外网架设安全指南。

修复还是重建？

能确认入侵只碰了后台且数据库完整 → 修复：清后门文件、补密码、逐步恢复服务。数据库被改或拿不准 → 重建：拿最近一次干净备份回档，差额用全服邮件补偿玩家，操作见邮件系统配置。回档前一定按灾备三三制在练习机上演练一遍，别在生产上赌。

FAQ

玩家装备被刷乱了怎么赔？以日志时间线为唯一依据逐单回滚，回滚不了的按充值比例补绑定元宝，风控闸门思路见充值提现风控。

被 DDoS 打挂算被黑吗？流量攻击通常不带入侵，先扛防护再查有没有趁乱改数据，高防与带宽的取舍见服务器配置选型。

怎么防二次入侵？改完密码后三天内每天对一次文件清单和登录日志，新增陌生文件立即隔离；长期方案是权限最小化 + 定期改密，纳入日常维护清单每周检查项。