弱口令漏洞网站复现

晚上十一点，弱口我盯着Burp Suite的令漏抓包界面，手心有点出汗。洞网目标是站复一个市级教育网站，朋友说他们教务系统的弱口密码跟用户名一样。我输入admin/admin，令漏点击登录，洞网页面秒回——欢迎页。站复就这么简单，弱口一个拥有几千名师生数据的令漏系统，大门敞开着。洞网

弱口令漏洞从来不是站复什么高深技术，它就是弱口一把没上锁的备用钥匙。我见过太多案例：某医院放射科系统，令漏账号是洞网doctor，密码是123456；某政府招标平台，管理员密码是admin@2020；最离谱的是某银行内部培训系统，密码直接写在登录页的HTML注释里——。这些不是段子，是我亲眼扫出来的。

复现这类漏洞的流程并不复杂。先用nmap扫出开放端口，找到Web管理后台的路径。接着用字典跑一遍常见用户名——admin、root、test、manager，密码就顺手试那些万年不变的组合。但真正让我觉得讽刺的是，很多时候连字典都用不上。直接看网站源码，有的开发者把默认口令写在JS文件里，注释都没删干净。

有一次复现某物流公司分拣系统，登录框旁边就贴着一张便利贴照片——是运维人员拍的操作手册，上面赫然写着“默认密码：123456，请及时修改”。照片还挂在官网新闻动态里，日期是三年前。我顺着那张照片的EXIF信息，甚至找到了他们机房的楼层号。

弱口令的根源不在技术，在人的懒惰和侥幸。开发图省事，上线不换密码；运维嫌麻烦，定期改密能拖就拖；领导不懂行，觉得“没人会黑我们这种小网站”。可现实是，攻击者根本不需要针对你，他们用自动化脚本每天扫全网IP，撞库、爆破、批量尝试，一台服务器扫到弱口令就像在沙滩上捡到硬币——概率低，但架不住海滩大。

我复现过最“成功”的一次，是某区级自来水公司的缴费系统。管理员账号是water，密码是water2022。进去之后能看到所有居民的姓名、住址、用水量和缴费记录。我下载了前一百条数据，给该公司发了份报告，附上漏洞截图和修复建议。对方三天没回邮件，第四天直接改了密码，连句谢谢都没有。后来我查新闻，发现那系统被黑过两次，每次都是拖库。

写这篇东西不是教谁去黑网站，而是想说清楚一件事：弱口令漏洞的复现，本质上是把“人祸”摆到台面上看。它不像SQL注入需要构造复杂语句，也不像0day需要过硬的逆向功底。它就是一面镜子，照出的是组织内部的安全意识到底有多稀薄。你问怎么防？别设那种一猜就中的密码，别把密码写在便利贴上，别让同一个密码用五年。就这三条，能挡住八成脚本小子。剩下的两成，靠运气——但运气这东西，在安全领域从来不可靠。