该漏洞源于 musl libc 的 crypt() 在失败时返回 “*”，当 sshd 对密码字段为 “*” 的账户借用其他账户的真实盐值执行 crypt() 时，257–1024 字节的超长口令会使 crypt() 返回 “*” 并与影子条目比较相等，攻击者无需有效凭据即可通过 SSH 密码认证登录仅允许密钥登录或已锁定密码的账户，并可在 root 密码登录或 Alpine 默认 alpine 用户免密 doas 场景下直接获取 root 权限。

靶场：https://bdziyi.com/ulab/lab.html?page=target-detail&id=303