问题这方面，附件上传仅 名白名单校验，含 swf/exe 危险类型且无 MIME/内容校验

此文章为 XiunoX 版本重构审计时发现的问题。主要是帮助后续基于 Xiuno BBS 4.x 进行维护、插件开发或安全加固的站长和开发者快速定位风险点。站长最怕的就是“文件上传”这一步被绕过导致恶意代码直接落地，进而整站失守。

现象

Xiuno BBS 的附件上传接口只依据文件名的 名做白名单校验。根本不检查 MIME 类型，也不对文件内容进行验证。更糟糕的是白名单中直接包含了 swfexebin 等本身具有高危风险的后缀：

• .swf可嵌入 ActionScript，实现同源 XSS、跨域请求。
• .exe / .bin可作为恶意载荷托管，一旦被下载或执行即可能导致服务器或访问者机器感染。
• .php 等受限后缀程序仅在前面加下划线（如 _php)。这种“”依赖于 Web 服务器的解析配置，在 Apache 多解析、IIS CGI 方法泄露等场景下极易被绕过。

使用者痛点： • 站长担心上传入口成为黑客的“后门”。一旦有人成功上传 .exe 文件，就可能把整站变成木马分发网站。• 普通使用者担心下载附件时意外获得病毒或恶意脚本，因为服务器并未对 MIME 做强制限制。

源码证据

1. 上传校验仅基于 至于名白名单，

$name = param;$data = param;$data = param_base64;// ...
$ext = file_ext;$filetypes = include APP_PATH.'conf/attach.conf.php';in_array AND $ext = '_' . $ext;$tmpanme = $uid . '_' . xn_rand . '.' . $ext;$tmpfile = $conf . 'tmp/' . $tmpanme;$tmpurl = $conf . 'tmp/' . $tmpanme;老实说，$filetype = attach_type;// hook attach_create_save_before.php
file_put_contents OR message);

- 第 5 行通过 $ext = file_ext; 取得 名后仅使用 in_array 检查是否在白名单；不在则前缀加 “_”，怎么说呢，全程没有任何 MIME/type、finfo、getimagesize 等内容校验。

2. 白名单直接包含危险后缀：

return array (
'all' => array(
'av','wmv','wav','wma','avi','rm','rmvb','mp4','mp3','exe','bin'。'swf','fla','as','gif','jpg','jpeg','png','bmp','doc','xls','ppt','docx','xlsx','pptx','pdf','c','cpp','cc','txt','tar','zip','gz','rar','7z','bz','chm','bt','torrent','ttf','font','fon'
),);

- 包含 'exe','bin','swf'。'as'

3. 名截断逻辑可能导致绕过：

function file_ext {
$ext = strtolower,1));
其实，$ext = xn_urlencode;strlen> $max AND $ext = substr;if) $ext = 'attach';return $ext，}