hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。

) S; e# m) ]0 @1 e
1. http://xxxx/hiwebcms/system/USER/
0 o; P9 ]( r" Q1 l0 q* g7 q3 M可以直接看到所有后台用户信息
+ k) ^0 O& |: g; B7 c6 x: }
) p8 y8 `( {$ y( Q3 T2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
% h/ ^3 s8 X$ m! K可以查看所有上传的文件，匿名用户也可以上传文件。
$ {# M2 ~# Y( n( Z# f3 F4 N4 A
$ f  U1 s7 _& s7 U& Q3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
可以查看cms的部分配置
% K6 s! l5 s* x5 R4 J
1 ]; x/ Y$ R' T; x7 v9 P' ~4. http://xxxx/hiwebcms/system/USER/userConfig.htm
* C4 n$ r4 l7 E: }查看数据库中部分表结构
# G/ z0 p3 A2 i& i' J- N. n
5 E# |6 i$ |/ W  y7 v% P可以直接看到所有后台用户信息
​

! V) ^! o2 T! P8 T
可以查看所有上传的文件，匿名用户也可以上传文件。

! y0 l  x4 i! d2 V  `- O+ C$ b2 t​
! e9 j6 _) e* G! O" L  f! w
6 g0 k6 `# T- z+ N; h
0 b0 S! @' |2 O6 m可以查看cms的部分配置

​


查看数据库中部分表结构
4 b, B2 W! N- g0 e& o5 P7 G1 ^# B
​