hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
3 P8 f- L+ h9 [- X' B. T3 X7 C

+ X# W9 z+ |6 y1. http://xxxx/hiwebcms/system/USER/
4 z9 @" d: F& i6 }- g可以直接看到所有后台用户信息
4 Y4 [9 Y8 u1 W( s( d
2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。
2 x6 {# j# N/ w: {4 v3 @+ @" z
3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
" `" W; ^8 ]9 x* N- Y% D可以查看cms的部分配置
, a# x1 l2 U/ p6 \( P* E
) s* b: M/ t" h0 c4. http://xxxx/hiwebcms/system/USER/userConfig.htm
+ p3 V( _' i# N( }查看数据库中部分表结构

; H5 n# l; Z2 Z+ u# y可以直接看到所有后台用户信息
# j8 c) ]% P) _​
# a) W. L& r$ v8 s
; n' N" B5 w) {: M1 x
6 y% O5 `1 t# f可以查看所有上传的文件，匿名用户也可以上传文件。

8 B; m5 j! Z' ]. }( q9 c3 }​

2 E5 f0 g* ?( e* Q+ W% u7 B
可以查看cms的部分配置
  F0 U% @+ ]. x: Q- B% R; B  Z
4 H4 a7 A( d) K: K7 k' ~​


查看数据库中部分表结构
2 g$ F9 D) S+ O
4 l3 X8 a. E1 X% d3 H2 D​