弱口令漏洞整改

去年某地一家连锁酒店的弱口会员数据库被拖走，起因是令漏运维图省事，把后台管理密码设成了“admin123”。洞整攻击者用自动化脚本扫了不到十分钟就进去了。弱口这事后来上了通报，令漏但类似的洞整操作每天还在发生。弱口令不是弱口技术问题，是令漏人的问题——或者说，是洞整人在便利和安全之间反复偷懒的结果。

什么叫弱口令？弱口简单说就是容易被猜到的密码。长度短、令漏纯数字、洞整键盘上挨着的弱口键、系统默认值、令漏跟用户名一样、洞整生日或手机号。我见过最离谱的，某单位内部OA的超级管理员密码是“1”。对，就一个数字1。运维人员说“反正内网没人看”，可后来那个内网被横向渗透，成了攻击跳板。

整改弱口令，第一件事是清点。别急着改，先摸清楚有多少账号、哪些是默认密码、哪些长期没换。很多系统装完就扔在那，数据库里躺着几十个测试账号，密码全是“123456”。这些账号平时没人登录，但攻击者最喜欢——因为没人盯着日志。

清点完了，得定规则。规则不能太虚，比如“密码必须复杂”这种话没用。要具体：至少12位，大小写字母加数字加符号，不能包含用户名，不能是常见弱口令字典里的前一万个。有人会抬杠说记不住。那就上密码管理器，或者用短语密码——比如“我家猫2019年吃了三斤鱼！”这种，长但好记，暴力破解也扛得住。

技术手段得跟上。很多系统支持强制密码策略，但默认不开启。去后台把“密码最小长度”“密码复杂度”“密码过期时间”全打开。过期时间别设太短，90天足够，否则用户会把密码写在便利贴上。另外，登录失败锁定必须开，连续错5次锁15分钟，能挡住大部分暴力破解。

有个细节容易被忽略：默认账户和硬编码密码。比如某些网络设备出厂自带“admin/admin”，装完没人改。还有代码里写死的数据库连接密码。这些不是改改界面就能解决的，得翻配置文件、查源码。我见过一个项目，开发把测试库密码硬编码在JAR包里，上线时忘了删，结果整个生产库被拖。

整改完不是就完了。得验证。拿弱口令字典跑一遍，看还有没有能登进去的。再查日志，看有没有异常登录尝试。最后把这次整改的账号、密码策略、验证结果记下来，形成基线。以后新系统上线，默认按这个基线来。

说个真实对比。有两家同样规模的公司，A公司每年做一次弱口令扫描，发现就改，改完就记录。B公司从来不管，觉得“内网安全靠防火墙”。去年B公司被勒索，入口就是一个弱口令的VPN账号。A公司也挨过攻击，但攻击者试了默认密码进不去，试了常见组合也进不去，最后放弃了。差距就在这。

弱口令整改不复杂，但需要有人盯着。别指望一次搞定，也别指望用户自觉。技术策略加定期检查，再加一点“谁不改就通报谁”的狠劲，基本就能压住。最怕的是觉得“这事不重要”，等出事再改，代价就不是改几个密码那么简单了。