hiweb cms后台多出权限绕过

admin

  HIWEB是一套整站管理系统，很多学校在用这个来搭站。但是此cms后台存在多处权限绕过的问题。
  y# P- K5 }4 K* D: [9 G( H

4 i, A) k* L- T; L' @1. http://xxxx/hiwebcms/system/USER/
6 o6 j6 v- j; }" U可以直接看到所有后台用户信息

- F) O# u( G7 r1 x' h: d2. http://xxxx/hiwebcms/system/sysSetup/filesManage.htm
可以查看所有上传的文件，匿名用户也可以上传文件。

3. http://xxxx/hiwebcms/system/sysSetup/sysSetup.htm
可以查看cms的部分配置

4. http://xxxx/hiwebcms/system/USER/userConfig.htm
$ [" |8 S- H, `( V8 W查看数据库中部分表结构
! P" z" ?- B0 S5 B
可以直接看到所有后台用户信息
​
: z2 C1 c5 p* e' ]9 W
6 ~/ A2 f* ^6 h6 A, d2 I, o. w
可以查看所有上传的文件，匿名用户也可以上传文件。
/ I8 @! [% I! d. s- W) Y
​

$ v1 W' V4 h) B- w
/ D  j; T% x) g7 u  ]可以查看cms的部分配置

​

6 w" b. i' ^+ O& ^
查看数据库中部分表结构
( i  M* Z, S) G5 e  H0 x
# w4 f9 ?6 e1 O​