hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。

: z; L9 z* X( k9 u
) }. |% C* ]. G3 H6 ^4 C8 W1. http://xxxx/hiwebcms/system/USER/
4 p3 X, e% Q+ T% h可以直接看到所有后台用户信息

2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。
7 g4 g( L3 K& ?4 @0 }* H
3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
7 ]# g  x" \' y# M# [可以查看cms的部分配置
, x2 q2 P% E' i6 r& I
4. http://xxxx/hiwebcms/system/USER/userConfig.htm
查看数据库中部分表结构

5 b9 w; ~" M6 n/ L$ m; l) ~可以直接看到所有后台用户信息
​
, q# i7 @8 a* B- y' I, v! q2 C

可以查看所有上传的文件，匿名用户也可以上传文件。
6 y1 B# J5 m8 J+ W5 j- L
​

; y1 b0 C6 Y" ^+ _% |# j
可以查看cms的部分配置

7 p& C, y2 q( v8 C' r# V2 e​
+ a% |$ h6 e- C% t
8 z7 V) y6 V/ ~+ T9 Q, }
( b1 K6 g) P" ~' l% r; ]查看数据库中部分表结构

' D2 Q9 v- g/ V8 y" g& s​