2015年7月24日Freebuf报导，最流行的Linux系统远程控制软件OpenSSH曝出高危漏洞。利用该漏洞，攻击者可以执行大量的密码登陆尝试，大量Linux服务器将面临被暴力破解风险。

漏洞细节

据知，大部分系统都默认开启了键盘交互认证模式，所以黑客可以大规模地利用这个漏洞。研究人员公布了POC代码，如下所示:

ssh -lusername -oKbdInteractiveDevices=`perl -e 'print "pam," x 10000'` targethost

这段简单的命令可以在登录窗口开放的2分钟内进行一万次的密码猜解。

"重要的是，如果攻击者对使用键盘交互认证模式的设备发起了1万次的交互请求，那么OpenSSH会执行这些请求，然后陷入一个接收口令的循环之中，直到超过设备的限制。"

而基于网络连接和受害Linux主机的情况，2分钟的时间和这几千次的密码猜解已经足够让攻击者使用常用密码字典成功破解密码了。

这个漏洞存在于最新版本的OpenSSH中，即6.9版，目前官网并没有发布漏洞修复补丁。

如何防御

使用国内著名云安全软件-云锁就能完美防御该安全漏洞。云锁是椒图科技开发的免费云安全软件，支持windows、linux服务器跨平台安全防护及运维管理，功能涵盖主机加固、主机防入侵、网站防护、网络攻击防御4大部分。针对OpenSSH该漏洞，云锁有两层防御措施：

1，云锁“登陆防护”模块包括：防止远程暴力破解和防止FTP暴力破解两大功能，2分钟内错误输入10次用户名、密码，会封锁IP30分钟，并支持一键将IP加入黑名单。

2，云锁”登陆防护“功能可以限制登陆用户名、登陆IP、登陆时间、登陆服务器所用计算机用户名。即使密码被非法获取，不满足云锁用户设置的任何一个条件，也无法登陆服务器。

云锁linux版支持centos、Ubuntu、redhat等超过60个linux发行版本，web中间件防护支持：apache、nginx。

下载地址：
http://www.yunsuo.com.cn/ht/software/