DonutSMP 的模组扫描器利用了一个 Mojang 至今未修复的 Minecraft 漏洞

事件经过：DonutSMP 是人气最高的 Minecraft 公共服务器之一，它通过一种名为”告示牌翻译漏洞”的手法，检测 Meteor 等作弊客户端和 Freecam 等模组。你的客户端会被迫在一瞬间打开一个看不见的告示牌，而它的回应会暴露你装了哪些模组。玩家表示，同一个扫描器还因为资源包和无害的客户端模组封过人，而它所依赖的漏洞在原版 Minecraft 中至今未被修补。

谁会受影响

任何在使用这一技术的服务器上游玩 Minecraft Java 版 1.20 或更新版本的玩家。这包括 DonutSMP，以及越来越多运行 ModDetector、ModCheck、AntiMod 等仿制插件的服务器。基岩版玩家不受影响。

最明显的目标是作弊客户端。但同样的探测对任何添加了自有文本的模组都有效，所以服务器也能看到无害的性能优化、地图和便利性模组。它还能读取你的按键设置和游戏语言。

原理

Minecraft 的文本可以包含占位符：比如 key.freecam.toggle 这样的翻译键，或对某个按键的引用。你的游戏会根据语言文件和设置，把它们替换成真实文本，其中也包括你的模组添加的文件。

1. 你进入服务器时，服务器放置一个带有这些占位符的告示牌，并强制在你屏幕上打开告示牌编辑界面。
2. 编辑界面在你看到之前就会关闭。
3. 从 1.20 开始，关闭编辑界面会把告示牌转换成纯文本并发回服务器，而占位符已经被填好。
4. 如果回应里写的是”Toggle Freecam”而不是原始的翻译键，服务器就知道你装了 Freecam，封禁可能随即自动执行。

研究人员后来发现，同样的手法也能通过铁砧改名实现。在 1.20 之前，这段文字只会显示在你自己的屏幕上，所以 Wurst 团队把这一变化称为已经造成实际危害的隐私泄露。

谁该负责

Mojang 是漏洞的责任方。MC-265322 自 1.20 时期起就已公开，截至 2026 年 11 月，Wurst wiki 仍未列出任何官方修复。所有 Java 版玩家都得靠 Mojang 来堵上这个漏洞。

DonutSMP 选择把反作弊建立在这个漏洞上，而不只依靠游戏行为检测。在竞技服务器上抓作弊者是正当目标；但在没有明确违禁清单的情况下，悄悄读取玩家客户端的内容并自动封号，就是另一回事了，而每一次误判都会落到真实玩家头上。

作弊客户端开发者正和它展开军备竞赛。Meteor Client 曾尝试拦截这种探测，但这个修复本身也能被检测出来，因为它返回的是原始翻译键，而不是预期的备用文本。

各方说法

我们没有找到 DonutSMP 关于扫描器、检测模组清单或误判处理方式的任何公开技术说明。有玩家评价称，提交客服工单后封禁被解除，说明申诉至少在部分情况下有效。Mojang 尚未公开回应 MC-265322。如果任何一方作出回应，我们会第一时间报道。

DonutSMP 2026 年的其他争议

模组扫描器并不是今年 DonutSMP 与玩家之间唯一的冲突。

• 挂机封禁潮（4 月）：r/DonutSMP 上有数十名玩家反映，自己因在服务器官方 AFK 区域挂机或使用获准的模组，被以”挂机脚本”为由永久封禁。一名玩家称损失了两个账号，价值约 2.5 亿游戏币。申诉拖了好几天，而玩家称真正的作弊者仍在不断偷袭基地。以上为玩家自述，DonutSMP 未公布其检测机制。
• 转向付费变强（8 月）：出售直接成长加成和刷怪笼的碎片商店、被削弱的刷怪笼，以及新的反挂机和监视系统，让批评者认为服务器以肝为核心的经济体系开始走向终结。
• 假冒作弊网站（10 月）：一个冒充 DonutSMP 作弊工具站的网站，向想走捷径的玩家传播 SilentNet 恶意软件。详见我们的模组恶意软件指南。

你现在该怎么做

1. 要知道任何 Java 版服务器都能看到你的模组。如果某个服务器禁止某个模组，就默认它能检测到，进服前先删掉。
2. 查看服务器关于允许模组的规定，并为规则严格的服务器准备一套单独的精简模组配置。
3. 小心附带模组语言文件的资源包。它们可能让你看起来像装了某个模组。
4. 如果被误封，请附上细节申诉：你的模组列表、资源包以及被封时间。
5. 隐私保护模组是存在的。ExploitPreventer、OpSec 等 Fabric 模组可以阻止你的客户端解析这些占位符。但有些服务器会把”受保护”的客户端视为可疑，请先阅读规则。
6. 在 Mojang 的漏洞追踪器上为 MC-265322 投票。原版修复能保护所有玩家，而不只是模组用户。

更多服务器安全报道：安全与漏洞和DonutSMP 全部报道。