Обход аутентификации сервера OpenSSH на системах musl

Зато ассоциируется с /etc/shadow.

Вход по паролю - зло. Нормальные люди уже давно сделали вход по ssh-ключу.

Ты его наизусть помнишь?

а что его запоминать то, 5 строчек всего

$ cat ~/.ssh/id_ed25519
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjECCCCBG5vbMUAAAAEbm9uZQAAAAAAAAABAAAAMwAAAAtzc2gtZW
QyNTUxOQAAACCRNrAmI3IJFOZb88Xoz6mhwTpD1AFE/dILEmHUSo7gpQAAAJhLUDJmS1Ay
ZgAAAAtzc2gtZWQyNTUxOQAAACCRNr1mI3IJFOZb8wXoz6mhwTpD1AFE/dILEmHUSo7gpQ
AAAEDLZpSWE8qfAQ7pUjGk5zM1Vk0Cbl/Gv19wE3OljvFHF5E2vWYjcgkU5lvzBejPqaHB
ACPUAUT90gsSYdRKjuCl888AE3J5YWJpbi5zc0BnbWFpbC5jb20BAg==
-----END OPENSSH PRIVATE KEY-----

Нет, у тебя ключ хранится на диске, просто делаешь ssh хост.

Если хочешь, можешь ключ зашифровать, будет спрашивать пароль, но это не тоже самое что аутентификация по паролю.

musl

Однажды в размышлении «не воткнуть ли вместо glibc» (@Iron_Bug, помнится, на нём сидела), стал смотреть, с ходу нарвался на какое-то дико покоценное API (уж и не вспомню, может тупо на юникод), изумился как этим вообще кто-то пользуется как оно вообще работает, и больше туда не смотрел.

а что его запоминать то, 5 строчек всего

38 42
42 15
37 08 5
20 20 20!

error: invalid digit «8» in octal constant

Дядь ты меня за слабоумного держишь?

Для того нужно передать любой пароль длиннее 256 символов.

if (strlen(pass) > 256) return «fuck you»;

Надо было прогнать код на сишке через PVS-Studio или Valgrind может быть это бы им помогло, но скорее всего там код разрабатывали вчерашние студенты за пачку доширака ¯\_(ツ)_/¯

Баг возник из-за путаницы. А путаница возникла из-за того, что значение и метаданные над этим значением решили совместить в одном поле.

This string will be shorter than 13 characters, will begin with a ‘*’, and will not compare equal to setting.

Это API - просто эталонное говнище. Вместо того, чтобы всегда возвращать NULL, оно заставляет тебя дрочить вприсядку.

кмк этот код надо переписать на растишке безопасных плюсах, там как раз есть std::optional, которая должна бить по рукам за прямое обращение к значению (хотя в плюсах ради подрожания сишке всё-таки можно небезопасно обратиться напрямую через *).

метаданные над этим значением

Это ты так buzzвордово * в /etc/shadow назвал?

Вот это чтоли?

The iconv implementation musl is very small and oriented towards being unobtrusive to static link. Its character set/encoding coverage is very strong for its size, but not comprehensive like glibc’s

Contrary to POSIX, glibc iconv generates EILSEQ when a character is not representable in the destination charset. musl, in accordance with POSIX, performs an implementation-defined conversion and returns the number of such inexact conversions performed. At present, it replaces the character with an asterisk

кстати к вопросу о баге. Ну тут уж как говорится извините, что в POSIX приняли - то они и делают. Плюс в любом случае, возможность работать нужным образом с локалями и кодировками в софт на мюсле добавить можно, а вот возможность статически линковаться в жлибц - нет.

А ты попробуй кстати. И нам расскажешь.

Шел 2026 год, люди все ещё используют мусорный musl, а также отсутствие верификации TLA+/Lean для ключевого софта.