2019年，弱口某地一名运维人员为图省事，令漏把公司数据库的洞危账号密码设成了“admin123”。三个月后，弱口境外IP通过这个入口拖走了近百万条用户信息。令漏事后复盘，洞危攻击者根本没用什么高深手段——写个脚本，弱口跑一遍常见弱口令字典，令漏十分钟就进去了。洞危

这就是弱口弱口令的杀伤力。它不需要漏洞利用链，令漏不需要0day，洞危甚至不需要多强的弱口技术底子。你设“123456”，令漏他就试“123456”；你设“password”，洞危他就试“password”。成本低到离谱，收益却可能高得吓人。

很多人觉得这事离自己很远。可你去看那些泄露事件通报，弱口令几乎从没缺席过。某次护网行动中，红队拿下目标内网最常用的方式不是钓鱼，也不是水坑攻击，而是直接对着暴露在公网的SSH、RDP、VPN设备撞库。口令字典里排前一百的密码，命中率超过三成。三成是什么概念？相当于你随便找十台机器，三台能直接进去。

更麻烦的是，弱口令往往不是孤立问题。一个人用“qwer1234”注册了测试环境，很可能生产环境也差不多。一个系统被攻破，攻击者翻翻配置文件、翻翻脚本，经常能捡到明文存着的其他系统口令。横向移动就这么来的。你辛辛苦苦在边界堆了防火墙、WAF、EDR，结果里面一个“admin/123456”全给绕过去了。

有人会说，现在不是有密码策略吗？强制大小写、强制数字符号、强制九十天改一次。可实际落地什么样，大家心里有数。为了满足复杂度，用户会把“Password1!”改成“Password2!”；为了记住，会把密码写在便利贴上贴显示器边框；为了省事，会在所有系统用同一个密码。策略越复杂，人越倾向于走捷径。最后安全部门拿到的是一堆形式合规但实质脆弱的凭证。

我见过最离谱的案例，是一家企业的堡垒机口令是“bangzhu+年份”，比如“bangzhu2023”。问为什么，答：好记，每年改一次也方便。堡垒机是什么？是通往所有服务器的跳板。这个口令一旦泄露，等于把整栋楼的钥匙串挂在门口。

弱口令的危害还不止于数据泄露。攻击者拿到一个低权限账号后，通常会先看本机有没有保存其他密码，看看history命令里有没有人敲过明文密码，看看配置文件里有没有硬编码。这些操作不需要提权，普通用户权限就够。很多勒索软件团伙就是靠一个弱口令进内网，然后慢慢摸到域控，最后一把加密所有机器。

那怎么办？说复杂也复杂，说简单也简单。技术上，强制多因素认证能挡掉绝大多数撞库；限制登录频率、封禁异常IP、监控暴力破解行为，都是基本操作。管理上，别让开发把密码写死在代码里，别让运维把口令贴在显示器上，别让“临时用一下”变成永久配置。最关键的，别指望用户自觉。人就是会偷懒，安全设计得把偷懒的代价降到最低。

说到底，弱口令是个老问题，老到很多人已经懒得提。可它偏偏就是最有效的突破口之一。你花几百万买设备，不如先把那台暴露在外的机器密码改成十二位随机字符串。这事不酷，不高级，但管用。