CVE-2016-20012

总结

OpenSSH 直至 8.7 版本允许远程攻击者测试其怀疑是否正确，即怀疑某个用户名与公钥的组合是否已被 SSH 服务器知晓。之所以会发生这种情况，是因为仅当该组合可能对登录会话有效时，服务器才会发送质询。注意：供应商不承认用户枚举对该产品构成漏洞。

• cve-2016-20012漏洞利用

  用于 SSH 用户名枚举的 Python 脚本，使用基于时间的分析来识别目标服务器上的有效账户。