问题的观点是，默认配置硬编码 auth_key 加密密钥

此文章为XIUNOX版本重构审计时发现问题。分享出来方便后续想基于xiuno bbs4..4版本制作维护版本或插件模板等需求的开发者和站长参考。其实，

使用者痛点

• 安全风险极高硬编码密钥代表着攻击者无需，直接使用公开值即可伪造会话令牌
• 隐患长期存在即使安装脚本生成随机密钥，手动配置或安装漏洞可能导致硬编码值被重新引入
• 权限接管威胁通过伪造bbs_token可绕过所有使用者认证，直接获取管理员权限进行数据泄露/破坏
• 复杂的补救措施发现漏洞后需要全站重新加密所有令牌。且必须修改所有已部署程序的配置文件
• 开源项目特有风险任何人都能获取到硬编码值，黑客团队可能提前准备好伪造工具等待目标程序上线时使用

现象详情与证据展示

1. 默认配置中明确存在硬编码值

'auth_key' => 'efdkjfjiiiwurjdmclsldow753jsdj438',

2. 关键函数直接使用该密钥

function xn_key {
$conf = _SERVER;return )，xiuno_key :?$conf : '')，}

3. 主要令牌加密均依赖该密钥

function user_token_gen {
global $ip。$time,$conf，$tokenkey = md5);$token = xn_encrypt;return $token;}

高危风险分析

1. 未授权登录风险： 攻击者可通过已知密钥伪造任何使用者令牌或管理员令牌，实现无需输入账号/密码的直接接管
   • "我看到我的论坛突然多了个管理员账号！"
   • "为什么我的账号总是被莫名其妙地踢出？ "
   • "客户反馈他们看到其他人用自己的账号发帖！"
   • "我要怎么证明这是黑客行为而非内部人士所为？"
   • "这个漏洞被利用后会不会影响我的SEO排名？"
   • "如果黑客控制了论坛，会不会影响到连接的微信小程序？"
   • "需要多久才能修复这个问题？过程中论坛要停机吗，"

该漏洞属于CWE-798: Use of Hard-coded Credentials。CVSS评分为9.8，具有极高的攻击难度低、影响范围广、利用价值高的特点。一旦被利用，将导致整个论坛程序完全受控。由于XXTEA加密算法本身也存在弱点，结合硬编码密钥几乎没有防护能力。

在实际案例中已经发现有网站因保留默认auth_key遭遇大规模账号劫持事件。某知名技术社区曾报告过类似案例："我们检测到超过80%的注册账号在短时间内被非法登录并发送垃圾内容"。最终调查发现正是由于未修改默认加密密钥导致的安全事故。