2023年某地公安破获一起案件，弱口一家连锁酒店的令漏会员数据库被拖走，原因简单到让人无语——后台管理员账号是洞何admin，密码是解决123456。攻击者根本没用什么高级漏洞，弱口就是令漏拿常见密码字典跑了一遍，三分钟就进去了。洞何这事听起来像段子，解决但每年都在发生。弱口

弱口令的令漏问题在于，它把安全防线变成了摆设。洞何你花几万块买了WAF，解决配了防火墙规则，弱口结果有人图省事把密码设成“password”，令漏后面所有防护都白搭。洞何攻击者最喜欢这种入口，成本极低，收益却可能很高。

先搞清楚什么叫“弱”

很多人以为密码只要够长就安全，这想法有偏差。长度只是一方面，更关键的是可预测性。像“qwerty123456”这种，长度够了，但键盘上随手一划就能猜到。还有“公司名+年份”、“姓名拼音+生日”这类，在社工库面前基本等于裸奔。

我见过一个案例，某企业内部系统要求密码必须12位以上，结果员工集体用“Company@2024”——确实12位，也确实一秒被破解。规则是死的，人是有惰性的。

技术上能做什么

最直接的办法是强制密码策略。别只要求长度，要检查是否出现在已知泄露密码库里。现在有很多开源工具可以做这件事，比如在用户设置密码时实时比对Have I Been Pwned的数据库，命中就拒绝。这个成本很低，效果立竿见影。

再进一步，全面推行多因素认证。密码就算泄露了，攻击者没有第二因素也进不来。短信验证码虽然被诟病，但比纯密码强太多。条件允许的话，上TOTP或者硬件密钥。我知道有些运维嫌麻烦，但比起数据库被拖库，这点麻烦真不算什么。

还有个容易被忽略的点：默认口令必须改。路由器、摄像头、数据库、中间件，出厂密码往往就是admin/admin。设备上线前不检查，等于给攻击者留后门。我习惯在资产清单里专门标一列“默认密码是否已修改”，没改的直接打回去。

管理上别偷懒

技术手段再强，也架不住有人把密码写在便利贴上贴显示器边框。这事我亲眼见过，还不止一次。安全培训不能光讲大道理，得给具体方法。比如推荐用密码管理器，员工只需要记住一个主密码，其他全交给工具生成和填充。刚开始有人抵触，用顺了反而离不开。

另外，定期做弱口令扫描。用hydra或者medusa这类工具，对自己的系统跑一遍常见字典，能提前发现漏网的。别等外部扫描器报过来才行动，那时候可能已经被利用了。扫描频率不用太高，季度一次足够，但结果必须跟进整改。

一个真实的小观察

去年帮一个朋友看他们公司的NAS，发现管理员密码是“admin888”。我问他为什么设这个，他说“好记”。我当场用手机跑了个小字典，两秒就登进去了。他脸色变了。后来改成随机生成的20位密码，存进密码管理器，再也没出过问题。

弱口令这事，说到底是个意识问题。技术方案都有，成本也不高，就看愿不愿意花那点时间去落实。攻击者不会因为你系统小就放过你，自动化工具扫全网，碰上弱口令就进，根本不挑目标。别等出事再改，那时候数据已经在别人手里了。

(责任编辑：娱乐)