hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
1 X6 U9 X; x6 z# I

1. http://xxxx/hiwebcms/system/USER/
可以直接看到所有后台用户信息

2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。

+ A* Y" k; `  u0 I- Q. ^7 t2 `3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
可以查看cms的部分配置
# q2 w& x2 j6 X. x: F- O
4. http://xxxx/hiwebcms/system/USER/userConfig.htm
查看数据库中部分表结构
* o& a% l# _8 ?/ Z/ L
; f  a9 u! h  g; w) }可以直接看到所有后台用户信息
" m$ n3 L, @% w7 @​
1 k2 p" H- X& g
( t$ p' [% O8 ?; Q% \) D
; m/ f3 p+ x0 S1 p  I7 [可以查看所有上传的文件，匿名用户也可以上传文件。
. j9 G% d* h# i4 r9 O
​
& r& b/ ~! v, B2 T

可以查看cms的部分配置

+ r1 e6 Y8 O1 @6 _0 z6 n- j​
6 w4 }# ]6 a( u. a; a" a6 G' N
+ D8 J: E4 x  u* ?) `  v
查看数据库中部分表结构
* k, w) Y" a; S. S  N2 C
1 ]3 C$ G1 C, j​