网络安全检测与防护技术
国家地方联合工程研究中心深圳分中心

靶场科普 | 命令执行实战之Webmin

发表时间:2021-07-12 14:38

本文由“网络安全检测与防护技术国家地方联合工程研究中心深圳分中心——东塔网络安全学院”总结归纳

今天,给大家介绍一下“东塔攻防世界”其中的一个靶场:“命令执行实战之Webmin”。


一、实验介绍
1.漏洞简介

webmin被发现存在一处远程命令执行漏洞,经过分析后,初步猜测其为一次后门植入事件,webmin是目前功能最强大的基于web的unix系统管理工具,管理员通过浏览器访问webmin的各种管理功能并完成相应的管理动作,当用户开启webmin密码重置功能后,攻击者可以通过发送post请求在目标系统中执行任意命令,且无需身份验证。

2.漏洞原理

1)命令执行原理
命令执行定义 当应用需要调用一些外部程序去处理内容的情况下,就会用到一些执行系统命令的函数。如PHP中的system,exec,shell_exec等,当用户可以控制命令执行函数中的参数时,将可注入恶意系统命令到正常命令中,造成命令执行攻击。
2)Webmin概念
Webmin是一个用于管理类Unix系统的管理配置工具,具有Web页面。在其找回密码页面中,存在一处无需权限的命令注入漏洞,通过这个漏洞攻击者即可以执行任意系统命令。Webmin 是用 Perl 编写的基于浏览器的管理应用程序,是一个基于Web的界面,用于Unix的系统管理。使用任何支持表和表单的浏览器,可以设置用户帐户,Apache,DNS,文件共享等。


二、实验目的

1.掌握命令执行入的原理
2.了解webmin漏洞概念
3.熟悉此漏洞的防御方法


三、实验步骤

1.打开实验连接,查看实验环境,登入用户
2.根据解题思路进行实操,分析思考。


四、防御方式

1.升级版本到Webmin 1.940版本

2.临时解决方案:

1.900到1.920版本的用户,编辑Webmin配置文件:

/etc/webmin/miniserv.conf,注释或删除“passwd_mode=”行,

然后运行/etc/webmin/restart 重启服务命令。

注:修复漏洞前请将资料备份,并进行充分测试。