台服《新熱血江湖》官网页 深度分析报告

• 目标：https://hot.mangot5.com/hot/index
• 抓取时间：2026-10-19 01:39 ~ 01:45 (GMT+8)
• 抓取方式：真实 HTTPS 请求（curl / urllib），全部结论均为实测，无推测替代实测
• 抓取产物：_mango_index.html(52,549B) / _mango_dl.html / _mango_notice.html / _login.html / _launcher.js / _yt_installer.exe(4,878,784B) / _patch_root.html

---

一、站点身份定性

一个容易误判的点：hot.mangot5.com 是「官网门户」，不是游戏服务器、不是补丁站、也不是登录网关。真正的账号体系在 www.mangot5.com，客户端下载在 download.mangot5.com，纯静态资源在 landing.mangot5.com。

---

二、服务端架构

浏览器
  │  HTTPS (TLS)
  ▼
Cloudflare  ── CF-RAY: ...-HKG  （香港节点；仅代理/CDN，未启用 WAF 挑战）
  ├── hot.mangot5.com        游戏站（Java / JSP，JSESSIONID）
  ├── www.mangot5.com        平台账号中心（注册/登录/储值/客服）
  ├── landing.mangot5.com    静态资源（91 次引用，模板+CSS+JS+CMS 图）
  ├── images.mangot5.com     图标/分级标
  ├── download.mangot5.com   安装器分发（Clever Cloud + S3，带 x-amz-meta-sha256）
  └── api.mangot5.com        独立 API 源站，DNS 直指 123.51.199.33（台湾，未走 CF）

实测证据：

• Server: cloudflare，CF-RAY: a4c95342d8e186a7-HKG
• Set-Cookie: JSESSIONID=...; Domain=.mangot5.com; Path=/; HttpOnly → Java 容器（Tomcat/JBoss 系）
• URL 风格 /game/<gname>/<action>、xxx.json 后缀、/Index/<Module>/<Action> → Spring MVC / 老式 JSP 分层
• 下载域名返回 X-Clv-Request-Id / X-Amz-* → 后端是 Clever Cloud + S3 兼容对象存储，不是自家机器
• 传输：Content-Encoding: br（Brotli 已开），Transfer-Encoding: chunked；本次链路观测为 HTTP/1.1（Cloudflare 侧对现代浏览器一般会给 h2/h3，代理环境下不可作为站点缺陷）

子域名矩阵（实测解析）：

结论：patch-yg（yg＝YulGang 熱血江湖）虽然域名存在，但不是补丁服务器。实测 patchlist.txt / patchlist.xml / version.ini / version.xml / update.ini / patch/ / ygpatch/ / Version.txt / update/ 全部 404。真正的补丁清单只存在于客户端内部，官网不暴露。

---

三、前端技术栈（含大量历史包袱）

加载的库（19 个 <script> + 9 个 <link rel=stylesheet>）：

埋点与第三方：

• Google Tag Manager：GTM-PB58S8
• Facebook SDK：v2.12（2018 年版），appId=198746237397990，autoLogAppEvents=1
• Google reCAPTCHA v2（登录页）
• YouTube 官方频道嵌入、FB 粉丝团外链

代码卫生问题（实测字符串）：

1. protocolcheck.js 里遗留 alert('here3')（IE 分支调试残留）
2. 首页内联脚本 enterBirthday() 弹 日文提示：alert('プロフィールの誕生日を設定してください')，后面跟中文注释 //你沒有登入生日唷
3. 登录页模板里出现 韩文注释 <!-- 현재 작업중 -->
4. 页面元素 ID 用日期命名：id="Isletclg20201217"
5. 中/日/韩/英四种语言混编 → 典型「韩国开发 + 日本版复用 + 台湾本地化」的历史叠层

---

四、页面信息架构（DOM 实测骨架）

nav.ht-navbar                                ← 全平台侧滑九宫格（25 个游戏入口，simplebar 滚动）
div#wrapContainer
 └ div.wrapbg
    └ div.header
       ├ nav#gnb                             ← 本站 6 大主栏
       └ div.gnbDim
 div.promotionPosiWrap                       ← 焦点图区
    ├ div.mainRollBanner > ul#mainRollBanner ← 7 张主视觉，缩略图间距 235px，7s 自动轮播
    └ div.promoRollingBg
div#wrap.cont
 └ div#main
    ├ div#main-left
    │   ├ div.news_box                       ← 三栏新闻：系統消息 / 活動消息 / 冒險手札（各 7 条）
    │   ├ div#banner-box                     ← 侧栏 3 个入口 banner（→ /game/hot/download）
    │   └ div#media.vedio                    ← 官方影片
    └ div#main-right
        ├ div.sign                           ← 登录态区：開始遊戲 / 註冊 / 儲值（+ reCAPTCHA）
        ├ div#abgne_fade_pic                 ← 活动轮播（fade 2000/3000ms，2s 切换）
        └ div.useful_box                     ← 唯美影片 / 線上儲值 / 網頁商城 / 客服中心
table.footer100                              ← 版权 + 分级 + 防沉迷

导航 6 主栏（共 24 个二级入口）：

1. 遊戲介紹 — 背景故事 / 職業介紹 / 系統教學 / 製作系統 / 世界地圖 / 副本 / 新手指南
2. 綜合消息 — 綜合公告 / 系統公告 / 活動公告 / 改版內容
3. 下載專區 — 主程式下載 / 桌布下載
4. 儲值消費 — 儲值購點 / 點數轉換 / 序號兌換 / 百寶閣
5. 客服中心 — 常見問題 / 辨識GM / 連絡客服 / 停權名單 / 管理規章 / 服務條款
6. （顶部）服務中心 / 快樂玩粉絲專頁 / VIP活動 / 儲值 / 常見問題 / 表單下載

运营位：7 张主视觉 → 分別指向「開放昇天七式」「熊熊來襲」「神靈靈獸開放」「讓你的點數放大5%」「新手專屬福利」「東嶺神女-美高降臨」等活动落地页（landing.mangot5.com/template/hot/event/<日期>_<代号>/index.html）。

---

五、内容与版本进度（截至抓取时）

最新公告（/game/hot/notice，每页 10 条 + 分页 page 参数）：

活动/改版时间线：昇天六式(2024.11.14) → 神靈靈獸開放(2025.02.27) → 夏日活動(2025.07.10) → 熊熊來襲(2025.11.13) → 昇天七式(2026.04.30)。

版本判断：台服当前内容线在「昇天七式」，2026 年 4 月上线，10 月只做例行维护与 bug 修复，没有新大版本。这个进度显著落后于韩服主线，与国服（用户本地 rxjh2025 客户端）不属于同一版本代。

运营信号：连续三次「登入異常」（10/9 修复、10/14 维护、10/14 补偿）说明 10 月上旬台服登录链路出现过持续故障 —— 对做登录自动化的人来说，这类窗口期是外部依赖不稳定的直接证据。

---

六、账号与登录链路（重点）

台服没有游戏独立账号，全部走 MangoT5 平台统一账号。

登录入口：/Index/Member/Login?gname=hot&ref=<当前路径+查询串>

表单实测字段：

<form id="Login" method="POST" class="form-horizontal login">
  <input type="hidden" name="ref"           value="">
  <input type="hidden" name="loginBtnClick" value="">
  <input type="hidden" name="p"             value="">
  <input type="hidden" name="r"             value="<64位hex，每次变化>">
  <input type="hidden" name="gname"         value="hot">
  <input type="hidden" name="check"         value="">
  <input type="hidden" name="userNoString"  value="">
  <input type="hidden" name="clientIP"      value="10.100.1.5">   ← 内网地址
  <input id="oldPassword" name="userID"     type="text">
  <input id="newPassword" name="password"   type="password">
  <input id="validCode"   name="validCode"  maxlength="11">       ← 图形/短信验证码位
  <input type="hidden" name="userNo"        value="">
  <input type="hidden" id="otpCheck" name="otpCheck" value="">
</form>

实测要点：

1. r 是每次刷新都变的 64 位 hex（连抓 3 次：1376a303… / 3f3562a1… / 9b4754e0…），随 JSESSIONID 一起下发 → 防重放 nonce（大概率是 HMAC-SHA256(时间戳/会话) 截断）。任何自动化登录必须先 GET 拿 r，不能写死。
2. clientIP 硬编码 10.100.1.5 —— 内网 RFC1918 地址直接出现在 HTML 模板里，说明后端在反向代理后面取的是内网地址，或模板把它当占位符写死。属于信息泄漏，也说明这套模板至少三年没人清理。
3. reCAPTCHA v2：data-sitekey="6Ldx-YssAAAAAEiHRA60Du9w8dCFhDKgi0RIkqgW"，由 /login 返回的 data.result.requireCaptcha 按需触发，不是每次都弹。
4. 地区分支：源码里有 if ("HK" !== "CN" && typeof grecaptcha !== 'undefined') → 港澳台走 Google reCAPTCHA，大陆（CN）走图形验证码 #captchaCode。同一套模板服务两个区，靠服务端注入的地区码切换。
5. OTP 双因子：#optForm + submitOtpValidation()，独立提交通道。
6. 强制生日：未设生日会被 enterBirthday() 拉去 /web/member/myaccount/info?gname=hot（分级合规要求）。
7. Cookie：JSESSIONID 仅 HttpOnly，没有 Secure，没有 SameSite —— 但 Domain=.mangot5.com 且全站 HTTPS，实际风险有限，属于配置瑕疵而非可利用漏洞。

---

七、启动与下载链路（最有价值的一段）

7.1 首页按钮不打启动器

首页「開始遊戲」按钮的真实目标：

<A title="開始遊戲" href="/game/hot/download" class="gmaestart"></A>

→ 跳下载专区，不是 happytuk: 协议拉起。说明台服热血江湖没有网页一键启动，必须先装客户端。

7.2 下载页只给一个 exe

/game/hot/download 全页唯一主程式下载点：

https://download.mangot5.com/download/yg/kcsdownload/HAPPYTUK_YulGang_installer.exe

实测元数据：

判读：

• 这是韩国 KCS 通用下载器（Kamuse 出品），不是游戏本体 —— 4.65 MB 的引导器，跑起来后再从远端拉数 GB 客户端。
• 打包时间 2024-05，内部时间戳 2022-07 → 下载器本体两年多没换过，只是重新上传过。
• 32 位 exe，说明台服客户端主线仍是 x86 老引擎，与国服 rxjh2025 同源（韩服 MGAME 引擎），这点对内存偏移移植有利，但版本差异会毁掉全部偏移。

7.3 HappyTuk 启动器体系（本页加载但不适用 hot）

本页虽然引了 protocolcheck.js + launcher.js?v=3，但 hot 不在启动器配置里。

实测 /webLauncher/config（GET，无鉴权，直接返回 JSON，14 条）：

没有 hot → 铁证：熱血江湖台服不走 happytuk: 协议，走独立安装器。同时这份接口裸奔（无需登录即可拿到全部 14 款游戏的 exename / 注册表安装路径 / gameId），是一个设计缺陷（信息泄漏级别，非提权）。

launcher.js 的协议构造规则（可复用知识）：

url = protocol + ":" + auth
auth = gname + "|" + (userNo + " " + authKey) + "|" + isTest + "|" + configUrl
// protocol 分支：closers→naddiclauncherjpn、clo→naddiclaunchertwn、
//               fs1/wk→happytuk-<gname>（qa 时 happytuk-<gname>qa）、其余→happytuk

各游戏 authKey 获取方式：

• 通用：POST /game/<gname>/getLauncherAuthKey.json，data:{userNo} → {userNo, authKey}
• xa（소호강호）：先 POST /game/xa/gameAuthLogin.json 验账号，再 POST /xa/getRegistTicket.json 取 ticket，拼成 user:<userId>@taiwan@sso pwd:<ticket>
• r2：/<userId>/<userNo>/<authKey>
• au：追加 userInfo + pathPath=patch-au.mangot5.com.tw/audition_patch/patch/<mode>
• gj：-account=<userNo> -ticket=<authKey>
• ro：走 launcher_call_as_web → POST /game/ro/getAuthKey.json → POST /ro/auth.json → iframe 内嵌网页游戏

---

八、接口清单（实测可得）

robots.txt 主动泄漏的内部路径：

disallow: /Index/Member/Login
disallow: /Index/Member/Profile
disallow: /Index/Member/ChangePWD
disallow: /game/cls/notice/detail/?contentNo=8639

最后一条是 CLOSERS 的某条公告被单独禁爬 —— 典型的"删不掉就屏蔽"式应急处理，反而暴露了该公告的特殊性。

---

九、健壮性与安全观察

9.1 参数处理（实测，非扫描）

判读：非数字/不存在的 ID 一律优雅降级到同一张空壳模板，没有异常页、没有 ORM 报错、没有堆栈泄漏。说明该参数走的是强类型绑定（int 转换失败即返回空），SQL 注入面在此处闭合。这是这套老 Java 架构少见的干净点。

9.2 安全响应头（全部缺失）

实测 HEAD /hot/index：

✗ Strict-Transport-Security
✗ Content-Security-Policy
✗ X-Frame-Options
✗ X-Content-Type-Options
✗ Referrer-Policy
✗ Permissions-Policy

六项全无。结合"页面加载 20+ 个来自 4 个不同域（含 jsdelivr / facebook / google）的脚本、且无一带 SRI"，点击劫持与供应链投毒的理论敞口是实打实存在的，只是 Cloudflare 前置限制了直接利用。

9.3 供应链与遗留风险

9.4 信息泄漏汇总

1. 登录页 clientIP=10.100.1.5 —— 内网地址
2. /webLauncher/config 无鉴权 —— 14 款游戏的 exe 名 + 注册表安装路径
3. robots.txt —— 登录/改密/资料页路径 + 单条 CLOSERS 公告 ID
4. 404 页面 CSS 里写死 //landing.mangot5.com//template/common/images/404_TW.jpg（双斜杠，暴露目录层级习惯）
5. 所有 CMS 图片路径带上传时间戳：/Images/cms/happycode/20251113/1763016716747.png → 可精确推断运营活动上线时间（本次据此还原了 2019~2026 的活动节奏）

---

十、性能画像（实测口径）

最重的 5 个资源：

765,616 B  Images/cms/happycode/20251113/1763016716747.png
719,814 B  Images/cms/happycode/20191211/1575996341242.png   ← 2019 年的图还在首页
668,975 B  template/happytuk/fb/hot_fb.jpg                   ← OG 图，被当页面资源加载
531,979 B  Images/cms/happycode/20191211/1575996847439.png
515,592 B  Images/cms/happycode/20260430/1777541975362.png

问题定性：

1. CMS 上传图零压缩、零转码：单张 PNG 765 KB，7 张就是 4.19 MB，占页面 76%。
2. 无懒加载、无 srcset：整页 <img> 没有一个 loading="lazy"，移动端首屏一次性拉全量。
3. 双 jQuery（93 KB + 96 KB）纯浪费。
4. 2019 年的活动图仍在首页（1575996341242.png 日期戳 2019-12-11）→ CMS 内容长期未清理。
5. HTTP/2 多路复用未被有效利用（资源域名分散在 3 个主机，已构成 sharding，但 HTTP/1.1 下反而更慢）。

综合评价：这是一张「能用、但完全不优化」的老式官网 —— 5.52 MB 的首屏在现代标准下属重度超标（合格线 1.5~2 MB）。

---

十一、SEO 与推广

• title / description / keywords 三件套齐全，keywords 堆了 60+ 个词，其中「封測帳號」「CB遊戲」「封測online」「2015」等早已过期的词仍在（说明 meta 里 2015 年写的没更新过）。
• OG 标签完整：og:url / og:title / og:description / og:image / og:type=article / og:site_name。
• meta name="generator" content="mangot5 official homepage" —— 自研 CMS 指纹。
• revisit-after: 1 days、classification: entertainment,game、rating: general。
• robots.txt 允许全站，仅屏蔽 3 个会员页 + 1 条公告；sitemap 指向 www.mangot5.com/sitemap.xml，但本域 /sitemap.xml 返回 404 壳页。

---

十二、对「热血江湖助手」开发的可复用结论

以下是把你现有 rxjh 工程（国服 D:/rxjh2025/client/ + 自动登录 + 内挂）与台服对照后的直接判断，不是泛泛而谈。

1. 账号体系不可复用。台服是全平台统一账号（www.mangot5.com），登录带 r nonce（每请求变）+ 按需 reCAPTCHA v2 + OTP + 强制生日。国服那套「账号密码直连」的自动登录思路在这里走不通；若要做，必须先 GET 取 r 再 POST，且要处理 reCAPTCHA 挑战（自动化成本极高，v2 有行为风控）。
2. 启动方式不可复用。台服 hot 不在 /webLauncher/config 里，没有 happytuk: 协议入口，只能跑安装器 / 直达 exe。你现在那套「启动线程拉起 client.exe」的做法反而是唯一可行路径。
3. 内存偏移几乎肯定不通用。台服内容线在「昇天七式」（2026-04），下载器 2022 年编译、2024 年重传，客户端仍是 32 位老引擎；国服 rxjh2025 是另一条版本线。同源引擎（MGAME）→ 数据结构相似，版本差 → 偏移全变。你那套 .aut 11812B 结构、内挂页起点 AOB 锚 01 01 00 00 00 00 16 43 01 01 00 00 3D 0A 57 3F 在台服大概率长度与布局都不同，需重取锚点。
4. 反外挂未知。官网全站没有提及任何反作弊；但 KCS 下载器体系 + 韩服血统，客户端很可能带 XIGNCODE3 或 nProtect。在没装台服客户端之前不要假设它和国服一样（你国服那份 client/XIGNCODE/ + xhunter2.sys 的经验不能直接套）。
5. 补丁服务器不在公网暴露。patch-yg.mangot5.com 是泛解析假站，patchlist/version.ini 全 404。要拿补丁清单只能从客户端进程里抓（启动后看它请求哪个 host）。
6. 可复用的只有情报：14 款游戏的 exe 名 + 注册表键（/webLauncher/config）、HappyTuk 协议参数格式、CMS 图时间戳推断运营节奏。这些对做「台服客户端考古」有用，对现有助手代码零复用。

---

十三、一页速览