弱口令漏洞 每发现1起弱口令漏洞扣

某次攻防演练，弱口我盯着后台登录页，令漏漏洞随手敲了“admin/admin123”。发现回车，起弱进去了。口令扣那一刻我甚至有点尴尬——这系统是弱口某市政务平台的子模块，里面躺着几万条居民社保记录。令漏漏洞事后报告上写着“弱口令漏洞1起”，发现扣分表里对应着冷冰冰的起弱数字。后来甲方问我，口令扣这算不算运气好？弱口我说，算你们运气好，令漏漏洞碰上的发现是我，不是起弱勒索团伙。

弱口令这玩意儿，口令扣说穿了就是门没锁。你装再厚的防盗门，配再贵的智能猫眼，钥匙孔里插着把“123456”，那全是摆设。我见过最离谱的案例，某银行内部测试系统，账号是“ceshi”，密码是“ceshi123”，而且这密码从系统上线那天起就没换过——整整四年，直到被扫描器扫出来。运维解释：“这是测试环境，没人会盯着的。”可问题是，内网渗透的第一步，往往就是扫测试环境。攻击者不挑食，他们连打印机都进。

扣分标准我研究过，不同单位不一样。有的按“每1起扣0.5分”，有的直接“每1起扣2分”，还有的设定“发现3起以上直接一票否决”。但分数只是表象，真正的代价是数据。去年某医院被攻破，根源就是护士站电脑的远程桌面密码设成了“123qwe”。黑客进去后横向移动，把影像系统加密了，勒索信直接弹到院长电脑上。医院最后交了比特币，但患者CT数据还是泄露了一部分——那玩意儿比钱麻烦多了，涉及人命。

有人会问，为啥老有人设弱口令？图省事呗。尤其内部系统，员工觉得“反正就自己用”，密码设得比银行卡余额还简单。可你架不住有人用弱口令字典扫，一个字典几百条，从“password”到“qwertyuiop”，跑一遍用不了十分钟。我认识一个白帽哥们儿，他说自己最得意的战绩，是拿“123456”进了某国企的OA系统，然后找到了上个月的会议纪要——里面写着“加强信息安全意识培训”。他笑着把截图发给了对方安全负责人，对方半天没回话。

别指望靠培训解决。你讲一百遍“密码要复杂”，不如直接上强制策略——密码必须12位以上，含大小写数字特殊字符，90天强制更换，连续输错5次锁定账号。可现实是，很多单位嫌麻烦，怕员工抱怨“记不住”，就开了“密码永不过期”的选项。结果呢？老员工离职三年，账号还能用原密码登录。这不是技术漏洞，这是管理惰性。

我见过最狠的整改方式，是某省公安厅搞“谁弱口令谁写检查”，并且全厅通报。听说有个科长因为用“gongAn2019”被点名，会后默默把密码改成了“gongAn2019!@#”。你看，人都是逼出来的。但光靠罚不够，得把技术手段用上——部署弱口令扫描器，定期跑一遍所有系统，发现一个强制重置一个。别心疼那点运维成本，比起数据泄露后的公关费、赔偿金、法律诉讼，这点钱连零头都算不上。

话说回来，弱口令漏洞扣分，扣的是纸面上的分数，补不回来的是已经泄露的数据。那家政务平台后来整改了，把默认密码全清了，加了双因素认证。但这故事最讽刺的部分是——我登录进去那天，系统日志显示，我是三个月内第一个用正确密码进去的人。之前那些尝试，全是撞库的机器人，一天试几千次，只是没试对而已。你猜他们试的是什么？还是admin和123456那套老配方。

很赞哦!（84）