hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。

, L4 \; Z4 u" j0 I3 M8 D
1. http://xxxx/hiwebcms/system/USER/
, T3 R+ }& |* z- }5 b7 U! R可以直接看到所有后台用户信息
" X2 {7 X) x, C* ]0 d. B7 v0 F
2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
- L  N9 K, n3 e可以查看所有上传的文件，匿名用户也可以上传文件。

; t  f$ |8 `- Z9 b" L6 |) b2 h3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
) R9 Q9 `0 g" n: Y7 C可以查看cms的部分配置

. b1 P& x8 M9 `4. http://xxxx/hiwebcms/system/USER/userConfig.htm
! o% ?; B0 E0 A6 a8 F6 u查看数据库中部分表结构

可以直接看到所有后台用户信息
​
6 i  u* p7 i1 W& K
0 h9 K2 w6 x' t5 t4 m, S; e& j
/ z% h8 X$ D, M/ T- v可以查看所有上传的文件，匿名用户也可以上传文件。
6 \3 k+ a) i  Q2 j( \
, N9 q% ~& v( L( V​

) L! N6 x6 R  {: d! L" ~
可以查看cms的部分配置
% T0 M0 J0 E+ r. N% l
​


查看数据库中部分表结构
3 ], q4 ?! W- A: X! N( W
​