hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
2 o1 n6 o7 F. z) [8 d8 l! }& }
1 y$ u. M1 N# u- l3 X2 X
7 `- r$ e# f, ?! a/ z1. http://xxxx/hiwebcms/system/USER/
可以直接看到所有后台用户信息
. v4 M  h& O  K
2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。
+ W/ E! x' I0 ^' t
3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
可以查看cms的部分配置
0 ~% u2 E* W- P9 `: {
4. http://xxxx/hiwebcms/system/USER/userConfig.htm
查看数据库中部分表结构
1 v! ~8 _- ^5 ?: m
可以直接看到所有后台用户信息
0 \  D* a1 r3 K, `- D3 B+ n. m​


可以查看所有上传的文件，匿名用户也可以上传文件。
* |$ [( n% Q" }  [1 I( C2 j
- v: f2 K* C1 n5 J' E​
9 x6 _0 y- g/ D) Y

; i! J. [. C4 V1 H" F3 y" Z) g1 p可以查看cms的部分配置

' R, v* o( {" p, Z+ J​
0 ]" z8 @1 T5 O) W: L' C
  B3 s5 r9 R3 u4 D' \
查看数据库中部分表结构
; Y& W' a0 V% M/ Q0 }
​