弱口令漏洞如何防范

2023年某市公安网安部门通报过一起案例：一家连锁酒店的弱口管理后台账号是"admin"，密码是令漏"123456"。攻击者用自动化脚本扫了不到十分钟就进去了，洞何随后导出了近百万条入住记录。防范这事听起来离谱，弱口但同类漏洞每年都在重复上演。令漏弱口令从来不是洞何什么高深的安全问题，它更像是防范一扇没锁的后门——不需要撬，推一下就开。弱口

很多人以为密码设成"admin888"或者"公司名+123"就算复杂了。令漏攻击者手里的洞何字典早把这些组合收进去了。我见过一个真实的防范爆破日志，某台暴露在公网的弱口数据库，从开始尝试到成功登录，令漏总共用了47秒。洞何字典里排在前面的候选密码包括：password、admin、root、test、12345678、qwerty，以及"域名+年份"这种定制化组合。47秒，比泡一碗方便面还快。

问题的根源往往不在技术层面，而在人的习惯。运维人员图省事，给设备留统一初始密码；开发人员上线前忘了改默认配置；普通用户觉得"反正没人会盯上我"。这三种心态叠加起来，就是弱口令漏洞最肥沃的土壤。更麻烦的是，很多IoT设备——摄像头、路由器、打印机——出厂密码压根没打算让你改，或者改了也只在局域网生效，一旦端口映射到公网，等于把钥匙插在门上。

防范这件事，得分两个层面说。

技术层面能做的事其实很直接。强制密码复杂度策略是最基础的——长度至少12位，大小写字母、数字、符号混用，禁止使用常见弱口令字典中的条目。但光靠这个不够，因为用户会想出"Abc@123456"这种看似合规实则规律明显的密码。更有效的手段是登录失败锁定机制：连续输错5次，锁定账户15分钟或更久。这直接把在线爆破的效率从"每秒几百次"压到"每15分钟5次"，攻击成本陡增。再加上多因素认证，即便密码泄露，攻击者还需要第二重验证才能进入。对于暴露在公网的服务，限制来源IP、启用验证码、记录异常登录日志，这些都是低成本高回报的措施。

管理层面更关键。设备上线前必须修改默认凭证，这条要写进操作规范里，不是"建议"而是"必须"。定期做弱口令扫描，用工具跑一遍内网所有资产，发现一个整改一个。我见过一家企业用开源工具对内网做了一次普查，结果在两百多台设备里揪出三十多个弱口令，其中还包括一台核心交换机。这事要是被外部人员先发现，后果不用多说。

还有个容易被忽略的点：离职员工的账户。人走了，账号还在，密码可能还是那套弱口令。定期清理僵尸账户、强制密码轮换，这些老生常谈的做法之所以被反复提起，就是因为它们确实管用，而人们确实总在偷懒。

说到底，弱口令漏洞的防范不依赖什么高精尖技术。它考验的是执行力——有没有把每一条默认密码改掉，有没有把每一个账户管好，有没有在方便和安全之间选择后者。攻击者永远在找最省力的路径，而弱口令就是那条最省力的路径。把这条路堵上，大部分自动化攻击就会转向别处。剩下的，才是真正需要花精力对抗的威胁。