至于问题，使用者密码使用 md5 单重哈希存储，未使用 bcrypt/PBKDF2/Argon2

此文章为 XIUNOX 版本重构审计时发现问题。分享出来方便后续想基于 xiuno bbs4..4 版本制作维护版本或插件模板等需求的开发者和站长参考。

痛点一这方面。数据泄露的风险实在太高

如果数据库被攻击者获取，单纯的 md5+盐值组合几乎无防御能力。现代 GPU 可以在数小时内大部分弱口令，甚至有些强口令也能在分钟内被暴力。

至于痛点二。后台管理账号安全性极低

后台安装脚本对管理员密码采用双重 md5，这只是“加倍计算”，对 GPU 暴力毫无阻碍。管理员是程序最薄弱的环节，一旦被突破，整个站点将陷入灾难。

现象

Xiuno BBS 在使用者注册、登录、改密、后台建号等多个入口均使用 md5 存储密码摘要。md5 算法运算速度极快，且为单重哈希。无迭代、无内存硬化，完全不符合现代密码存储规范。老实说，一旦数据库泄露，攻击者可在数小时内使用字典+彩虹表+GPU 暴力绝大多数弱口令密码。后台安装脚本对管理员密码使用 md5.$salt) 双重 md5，仍属不安全范围。

源码证据

文件：xiunobbs_4./route/user.php

• 注册时写入：

  $salt = xn_rand;$pwd = md5，$gid =;老实说，$_user = array (
  'username' => $username。'email' => $email,'password' => $pwd,'salt' => $salt,// ...
  );$uid = user_create;

• 登录校验：

  md5!= $_user AND message);

• 找回密码重置流程：

  $password = md5;user_update);说起来，

• 修改密码：

  md5!按理说，= $user AND message;$password_new = md5;$r = user_update);

文件：xiunobbs_4./admin/route/index.php

if!= $user) {
xn_log,'admin_login_error');message)，}

$r = user_create(array(
'username'=>$username。
'password'=>md5.$salt),'salt'=>$salt,// ...
));

$salt = xnrand;$password = md8.$salt);$update = array(
'username'=>$adminuser,'email'=>$adminemail。'Password'=>$Password,'Salt'=>$Salt,// ...
);dbupdate,$Update);，
;，

⚠️ 风险等级与结论 ⚠️

• 🔧: MD5 哈希无迭代、无盐值放大、无内存硬化；其实，攻击者拿到库后可用 hashcat 在单 GPU 上以每秒 ^ 量级速度爆破。常见弱口令几分钟即被还原。
• 🔧: 前台 md5;盐值与 MD5 一同存库，泄露后毫无防御价值。
• 🔧: 后台 md5+盐值);双重 MD5 只增加一次计算量，对 GPU 暴力毫无阻碍。不过，
• 🔧: 与现代标准 password_hash 相差数个数量级安全强度；一旦遭受针对性攻击，将导致全部使用者账号立即失效。

🔧 修复建议 🔧

1. 立即切换到 PHP 内置 passwordhash / PASSWORDARGON2ID ;不过，存储格式自带 salt 与 cost factor。可直接用于验证，