hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
7 [( ^+ V  e6 X
4 F7 A4 Q1 a. o
9 L4 }& c: T+ U& u+ _1. http://xxxx/hiwebcms/system/USER/
可以直接看到所有后台用户信息

2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。
; e, \9 y: @1 r
8 A+ }* s- Q8 [' y& p9 ~, M, g3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
( H& s2 y+ z  `! j0 H( A! }可以查看cms的部分配置

6 u7 |0 [- ^- t' F5 s4. http://xxxx/hiwebcms/system/USER/userConfig.htm
查看数据库中部分表结构

可以直接看到所有后台用户信息
​

; d- b0 Q% q1 ?  p: \
可以查看所有上传的文件，匿名用户也可以上传文件。

# a8 l9 t0 g- k- W  a3 F1 b! N​
7 _# K# u) n- g; M* e, c: ^
- n7 Y, o/ L. U9 x' |+ G' a0 q
可以查看cms的部分配置
0 v; W, P9 i, {- c- B; a
9 p( a  ^! u# A) {7 o" C​


& }* _- h3 G3 {/ c. `; U查看数据库中部分表结构

% W* f# r) O1 e$ W7 S6 A1 Z​