HERO引擎（常被误写为HGE引擎）因为是较早期传奇服务端引擎，自身存在一些历史遗留BUG，同时大量漏洞来自版本脚本配置疏漏和数据库设置不当。下面分别说明引擎本身典型BUG和各版本通用漏洞现象及对应处置方式。
一、HERO引擎自身典型BUG
• M2时间错误与00000008内存访问报错：启动M2Server.exe先弹时间错误，接着连环弹英文Access Violation末尾00000008。原因是系统短日期格式用了斜杠而非短横线，或!Setup.txt中DayOfGuildFountain等字段存了异常时间值。修改控制面板区域→其他设置→短日期为yyyy-M-d，清掉!Setup.txt异常时间字段，重启即可。
- 物品持久值溢出BUG：StdItems.DB中AC/DC/MAC/MAC2等字段写入超出定义长度或负值（如-1），可导致装备显示异常攻击、背包崩溃甚至服务端异常。用DBC2000打开StdItems.DB，检查各数值字段不超范围，异常装备删除或修正。
- 宝宝（召唤神兽/虎卫）一召即死：Monsters.DB里神兽HP下限大于上限（如设置500-200），或QFunction-0.txt脚本含KILLSLAVE强制杀宝宝命令。修正怪物数据库血量上下限，删掉脚本中多余杀宝宝指令。
- 灵符兑换元宝漏洞（引擎功能项）：部分HERO版本M2→选项→功能设置→专用登陆器中灵符兑换元宝未置零，玩家可用灵符无限兑元宝。将此选项改为0兑换0即可封锁。
• 插件目录与IPLocal.dll远程隐患：旧版HERO引擎PlugDir指向异常路径或带IPLocal.dll/iplist.db，可被恶意利用远程调用。检查!Setup.txt中PlugDir是否正确，搜索删除服务端目录下IPLocal.dll、iplist.db、QW.DB及脚本中IPLOCAL关键词，清空PlugList.txt内容。
二、刷元宝漏洞（多数为脚本疏漏）
• 行会招募NPC/二级密码NPC公告刷元宝：行会招募NPC允许写入公告且公告内含GAMEGOLD+调用代码，配合封包工具可反复触发刷元宝。修复：删除行会招募管理NPC中可写公告的功能或整个NPC，在FilterStr.txt或M2→列表信息→其他设置→用户过滤字符列表加入@recruit、@@、InputString等敏感字符，重启M2。
- 任务NPC重复领取奖励：脚本未做已领取标记或没删任务道具，玩家交任务道具后转给小号再交同NPC重复拿金币/元宝。修复：奖励后加CheckTaken或删除任务道具REMOVEITEM，脚本内加延时防连点。
- 捆金条不扣金币漏洞：仓库NPC脚本捆金条时未先校验金币余额及扣除，生成金条后金币不变。修复：脚本加#IF CHECKGAMEGOLD >= 1002000 → #ACT GAMEGOLD -1002000 → GIVE 金条 1，否则提示不足。
- 沙巴克存钱输入负数刷钱：部分老版本数据库存钱接口未校验负号，输入-10000使余额+10000。修复：更新引擎补丁版M2Server.exe，或在存钱脚本加数值正负判断。
三、物品复制与装备漏洞
- 断线卡包复制（交易/扔地上捡取时断网）：同一账号双端登录或交易瞬间断网重连，可能使物品在服务端未正确删除产生复制。部分HERO引擎可在M2选项中开启封包校验或限制同IP多开缓解，也可通过定期比对ItemLog查异常。
- 可叠加物品异常叠加/拆分刷物：StdItems.DB中物品保留字段设为255（允许叠加）但实际不该叠加（如武器衣服），可利用拆分制造多件。修复：将不允许叠加物品的保留字段改回0。
• 持久值为负触发异常装备：修改装备持久AC2字段为负值触发引擎BUG生成超高属性装备。可在QFunction-0.txt中用脚本检测异常DC/AC/MAC值并销毁。
四、权限与GM命令漏洞
• 普通玩家提权为GM：脚本中含CHANGEPERMISSION或开放@Make全物品给普通玩家，或AdminList.txt被脚本动态写入（AddTextList Ex.\AdminList.txt）。全局搜索删除危险命令调用，AdminList.txt只手动维护，M2命令权限表里确保@Make/@GameGold等需GM权限1级以上。
- 数据库弱口令直连篡改：DBServer使用默认sa/123456等弱密码，攻击者可远程连数据库直接改角色元宝、权限字段。修改SQL Server sa密码，建仅具查询权限账号给引擎用。
五、地图与逻辑类BUG
- 穿墙/卡地形：部分自制地图坐标未做碰撞校验，可用瞬移技能或走特定像素卡进墙体内打怪无伤。MapInfo.txt对应地图行加CHECKDUPLICATE参数限制同坐标多重进入。
• 白日门赌场/转盘无限刷金条：NPC逻辑未校验输赢判定，发特定封包可只领奖不扣赌注。删除或重写问题NPC脚本。
- Win10/Win11兼容闪退：HERO引擎老核心与新系统内存保护冲突导致hge.dll无响应。右键M2/GameGate/DBServer→属性→兼容性模式运行（Windows 7）→以管理员身份运行，必要时替换兼容版hge.dll。
做版本时重点删掉行会招募写公告NPC、校验所有发元宝/发物品脚本是否有重复触发保护、StdItems.DB保留字段规范填写、升级较新补丁版HERO引擎M2Server.exe，可封堵绝大部分问题。
