利用 Go 中的 dsa.Verify (CVE-2019-17596)

详情请参阅相关博客文章.

运行

由于 Go 1.13.1 以上版本已修复此问题，我提供了一个 Dockerfile 来方便固定 Go 版本。只需执行 Docker 构建：

docker build .

有两个关键文件：

• dsa_test.go：包含一个导致 dsa.Verify 崩溃的测试用例/
• ssh_test.go：包含一个通过恶意 SSH 主机密钥使 crypto/ssh.Client 崩溃的测试用例。

改进、错误报告、添加功能等：

请通过 在 Github 上提交 issue 来分享想法、报告错误和提出一般性建议。当然，也欢迎 Pull Request :)

许可证

poc-dsa-verify-CVE-2019-17596 使用 Apache License, Version 2.0 许可。