某天深夜，弱口某大型企业的令漏安全运维人员收到了一条告警短信：内网某台数据库服务器被异常登录。查日志发现，弱口登录账号是令漏“admin”，密码是弱口“admin123”。就这么简单，令漏一个在互联网上存在了十几年的弱口弱口令，让攻击者像逛自家后花园一样，令漏把几百万条用户数据拖走了。弱口

弱口令是令漏什么？说白了，就是弱口那些特别容易猜的密码。比如“123456”、令漏“password”、弱口“qwerty”，令漏或者跟用户名一样的弱口密码。别笑，2023年某安全厂商的年度报告显示，全球仍有超过30%的企业系统在使用类似强度的密码。我见过最离谱的案例，某医院的医疗设备管理系统，管理员密码是“000000”，六个零，连数字递增都懒得设。

有人会问，现在很多系统不是都有密码复杂度要求了吗？强制大小写字母加数字加特殊符号，怎么还会有弱口令？这里有个认知偏差：复杂度要求是针对新设密码的，但大量老旧系统、内部系统、物联网设备根本不执行这个策略。更麻烦的是，有些设备出厂就带着默认密码，比如摄像头的“admin/12345”，路由器的“root/root”，装完就没改过。

攻击者利用弱口令的成本低到令人发指。他们用自动化工具，把常见密码字典一跑，几分钟就能扫一片IP段。不需要什么高深技术，就像拿一把万能钥匙挨个试门锁，总有一扇没反锁。我认识一位做渗透测试的朋友，他说接手的项目里，十次有八次能靠弱口令直接进内网，有时候连漏洞扫描都省了。

弱口令的危害还不止于数据泄露。2016年，美国某知名域名服务商被黑，就是因为一个员工的密码是“god”。攻击者改了域名解析记录，导致当天半个互联网的流量都被劫持。你说这算不算“因小失大”？企业花几百万买防火墙、装入侵检测，结果一个“god”全白搭。

但咱们得说句公道话，弱口令的责任不全在用户。很多系统设计本身就在诱导弱口令——注册时提示“密码至少6位”，用户自然就填“123456”；有些系统甚至强制要求密码不能包含特殊字符，这不明摆着把安全等级往下拉吗？更离谱的是，有些单位的密码三个月强制换一次，员工记不住，只能写在便利贴上贴在显示器边上——这比弱口令还危险。

怎么防？技术手段倒是现成的：强制密码策略、多因素认证、登录失败锁定、定期扫描弱口令。但最根本的还是人的意识。我在某企业做培训时问过现场听众：“谁还在用生日或手机号当密码？”沉默了三秒，稀稀拉拉举起十几只手。这还算好的，更多人是不好意思举手。

说到底，弱口令就像房间里的大象——人人都知道它存在，但总觉得不会轮到自己头上。可现实是，攻击者最爱挑这种软柿子捏。你花大价钱堆砌的安全体系，可能就因为一个“abc123”而功亏一篑。别等出了事再拍大腿，现在就去改密码，把那些用了五年以上的老密码统统换掉。这比装任何安全软件都管用。