传奇私服脱机外挂的暴露点，日志怎么留痕

做过两年运维的人看日志像看日记，一个号今晚干了什么，日志比本人记得还全。这篇按时间轴走一遍，从托管程序开跑的第一晚到第一个月，每一步都会在日志里留下什么，一条条数。不教任何躲的办法，只想说清一件事，痕迹只进不出。
问一：第一晚日志里会出现什么？
答：登录记录排在第一条。真实玩家的登录时间散落在不同时段，托管号往往在固定钟点准时出现，误差不超过两分钟。运维看异常先扫登录表，同一批号在前后五分钟内集中上线，当晚就会被标进观察名单。第一晚什么都没干，名单上已经有了它的名字。
问二：在线时长怎么暴露人？
答：日志按会话记时长。真人一天在线两三个小时，中间还要断线重连、吃饭下线，时段是碎的。托管号一挂就是十小时起步，会话又长又完整，连续三十天不中断。在时长分布图上，这种号孤零零站在最右边，肉眼一扫就是一排突出来的柱子，想看不见都难。
问三：走路轨迹能看出什么？
答：坐标数据每几秒落一条日志。托管号的移动像用尺子画的线，直线距离长，转角干净利落，刷新点之间来回的间隔几乎一致。真人绕路、停顿、回头，轨迹毛边很多。把两条轨迹叠在同一张图上对比，哪条是机器画的，看一眼就有数，比看数值直接得多。
问四：打怪记录留什么痕迹？
答：每次攻击、拾取、换怪都有记录。托管号的指令节奏均匀得像节拍器，一小时的攻击次数波动不到百分之五。真人累的时候手慢，激动的时候手快，波动能到三成。挑一个深夜时段拉出频次曲线，平得反常的那几条线，第二天就会进待处理名单，先后用不了多久。
问五：多开怎么被一条线串起来？
答：同一台机器跑的号，行为时间几乎咬合。一个号换图，其余的跟着换，间隔差不到一秒，这种同步在日志里连成一条明显的线。分开看的每个号都普通，叠在一起就是一串蚂蚱。排查这类情况不需要高深手段，把时间戳排成一列，一眼就穿，麻烦的只是翻页。
问六：凌晨时段说明了什么？
答：日志里的时间戳不会撒谎。凌晨三点到六点在线，连续一周每天都来，人做不到的事机器做得到。运维圈有个说法，深夜在线占比超过四成的账号池，基本不用再看别的证据。你自己偶尔熬夜也能做到，但做不到每天三点准时上线，还精力充沛打完一整轮。
问七：第一周会留下多少条记录？
答：粗算吓人。登录、移动、战斗、聊天、交易五类日志，一个全天在线的号一天能落几万条，一周就是几十万条。单条看不出问题，几十万条叠出来的规律就是铁证。很多人以为换号就干净了，其实记录跟着人走，行为特征归档一查一个准，换的只是壳。
问八：什么日期的日志最先被翻？
答：两类日子，一是大更新后的头三天，二是节前节后。更新后行为数据的变化最有辨识度，节前夜在线暴涨也是高发期。翻旧账从来不按顺序翻，先翻这些敏感日期，处理名单一大半都集中在这么几天里，剩下的零头再慢慢补齐，节奏很有耐心。
问九：聊天频道会留痕吗？
答：会，而且常常是意外收获。托管号偶尔要冒充活人回话，回复内容高度模板化，同一个短语一周出现上百次，日志里一搜一把。真人聊天再敷衍，用词也会换着来。有人专门按词频排序扫频道，排最前的那几个号先标记再慢慢看，前后不超过一周就能定完。
问十：交易记录暴露什么？
答：产出和去向对不上就露馅。一个号的打怪日志显示产出寥寥，交易记录却频繁转出大额货币，转给固定的几个号，这条链在日志里一目了然。做台账的人把这叫对账，账对不上号的，比行为异常还先被处理。流水不会说谎，说谎的是想借用流水的人。
问十一：日志保存多久？
答：各家长短不一，但普遍比玩家以为的长。了解到的情况，短的存三个月，长的存一年以上，而且会定期归档备份。很多人抱着过两个月就没事的想法，其实两个月后翻旧账正当时。存证这个东西，不以你换没换号为转移，时间越久，名单反而越厚。
问十二：处理名单是怎么从日志里长出来的？
答：先有标记，后有名单。日志异常只是给账号打标，打标之后继续观察两到四周，把关联号一起收进名单，最后一晚批量处理。见过一个案例，名单上一百多个号，处理前两天这些号还在正常打怪，当事人毫无知觉。这就是留痕的耐心，等名单长齐再动手。
问十三：正常玩家的日志长什么样？
答：散、碎、断。上班摸鱼二十分钟，午休半小时，晚上两小时，周末偶尔爆肝一天，中间夹着几次三天不上线。这种日志在分布图上糊成一团，模型反而懒得多看。所谓安稳不是技术好，是活得像个人，有作息有意外有偷懒，机器模拟不出这种乱。
问十四：有没有人日志干净却还是被处理？
答：有，死在关联上。他自己行得正，队友或者同机位的号被标了，顺着社交和交易记录一牵，他也在名单里。日志不止记录你，还记录你身边人。这提醒了一件常被忽略的事，选一起玩的人，某种意义上也是在选将来和你一起出现在名单上的人。
问十五：被误伤时日志能帮上忙吗？
答：能，这是留痕好的一面。被误伤的真人可以申请调取自己的操作记录，作息杂乱、轨迹有毛边、有断线重连，这些全是活人特征，核对后解除标记的案例不少，身边就见过两例。留痕对管理员是证据，对你也是证据，同一份记录，看谁来用，结果两样。
问十六：一个月后这些痕迹的归宿？
答：两种，要么进了名单等待处理，要么作为误伤样本被排除。前者占少数但代价最大，后者平淡收场。决定归属的不是运气，是头一个月日志里累积出来的形状。形状是每天一笔画出来的，第一晚准点上线的那个钟点，画的就是将来名单上的位置。
问十七：这篇按时间捋完想说什么？
答：想说慢。日志的可怕不在单条，在累积，第一晚的登录钟点，第七天的时长柱子，第三十天的关联链，一层压一层。很多人只盯着一晚会不会被发现，其实从来没有那一晚，只有每一晚。把时间轴拉开看，答案从第一天就写在纸上，读的人总是太晚。
时间轴走完，痕迹的账也就清了，从第一晚的登录钟点到第一个月的关联链，每一步都在给名单添名字。日志这种东西只进不出，换号换不掉，转区也带不走。别拿自己的账号去测试管理员翻不翻旧账，测试费太贵。看清这些，比搜传奇私服脱机外挂有用得多。