Usermin 用户自助面板
Webmin 家族的用户自助面板端口：Usermin 默认监听 20000，普通用户可以在这里修改口令、收发邮件、管理自己的文件与邮箱；Webmin 本身默认在 10000。两者常成对出现在同一台主机上，是主机资产盘点里的高危项。
基本信息
| 服务 | Usermin（Webmin 家族） |
|---|---|
| 协议 | TCP/HTTP（可配 HTTPS） |
| 默认端口 | 20000（Webmin 10000） |
| 能力范围 | 用户自理：口令、文件、邮箱、计划任务 |
| 暴露面 | 仅运维网段，严禁公网 |
典型使用场景
- 为用户提供自助改密与配额查询入口
- 用户管理自己的邮箱与转发规则
- 小批量文件上传下载
- 老环境沿用面板做用户级运维
- 资产盘点：与 Webmin 一起作为重点核查项
探测与监听核对
探测与监听核对
curl -skI https://host:20000/ | head -3
ss -lntp | grep -E '10000|20000'
# 变更前先备份面板配置目录（如 /etc/usermin）
# 加固方向: 只绑定内网地址并限制来源网段排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 面板可达 | curl -skI https://host:20000/ | 公网可达：口令爆破风险直接暴露 |
| 同族端口 | ss -lntp | grep -E '10000|20000' | 两个面板都开：攻击面翻倍，管理能力并存 |
| 版本 | 面板中显示的版本信息 | 版本陈旧：历史版本出过远程利用漏洞 |
| 账号 | 用户列表与口令策略 | 弱口令：撞开即拿到家目录与邮箱 |
Usermin 给的是用户自己家目录与邮箱的读写能力，不是管理员权限，但足以拿到业务数据与凭据。登录入口可以被暴力尝试，因此来源限制、强口令与登录失败告警要一起配齐。
为什么公网暴露最危险
公网暴露的面板等于把登录框交给扫描器：自动化工具会持续尝试常见口令，命中后立即读取家目录、邮箱与配置文件。历史版本还出现过无需口令即可利用的漏洞，而补丁发布时往往已有公开利用代码。
面板与 Webmin 共用主机资源，一旦失守，攻击者常把它当跳板横向移动；处置时除了改口令，还要检查面板日志、计划任务与 SSH 授权文件是否被改动。
公网暴露 20000 且只认用户名口令：弱口令命中后，家目录与邮箱同时失守。