hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
3 b) X8 P8 b( p3 \

1. http://xxxx/hiwebcms/system/USER/
可以直接看到所有后台用户信息
# [6 g. f# @  n+ Z) @  b4 n1 O
2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。
" I, Y! _: S: |4 O- K
3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
可以查看cms的部分配置
3 o+ ^' B" W% I: T, T7 S' W
9 M7 d3 `1 l* q4. http://xxxx/hiwebcms/system/USER/userConfig.htm
& z3 S/ X  H# ?" ~查看数据库中部分表结构
2 B4 o8 w3 X) r- ^+ h. a# {2 T
可以直接看到所有后台用户信息
( O. ?' B% |3 j. V" @6 H​
- K) r* ^: e' m5 l8 O

2 z7 R$ }5 i9 M/ h. m# S* s' }. p6 _  J* ?可以查看所有上传的文件，匿名用户也可以上传文件。
: r) |, q/ B. C) a+ e; d/ N% K$ R
! ^1 `& L+ P5 `+ \9 p& s; X4 s​


% y$ y* G1 I. H8 j可以查看cms的部分配置

7 h; _" j# X; ?+ e7 K3 Q​
/ h1 M3 L8 g- T

1 U2 h* ?3 z0 X0 c* R查看数据库中部分表结构

; [- {3 J, V( b0 X9 {  f​