内容摘要：2019年，某地公安网安部门做了一次内部演练，用自动化工具对辖区内一家三甲医院的对外业务系统做了一轮弱口令扫描。不到四十分钟，工具就拿到了医院OA系统的管理员权限。密码是什么？admin123。这个系

2019年，弱口某地公安网安部门做了一次内部演练，令漏用自动化工具对辖区内一家三甲医院的弱口对外业务系统做了一轮弱口令扫描。不到四十分钟，令漏工具就拿到了医院OA系统的弱口管理员权限。密码是令漏什么？admin123。这个系统里存着全院三千多名医护人员的弱口身份信息、薪资明细，令漏以及部分患者的弱口转诊记录。系统上线运行了六年，令漏从没改过初始密码。弱口

这就是令漏弱口令漏洞最典型的面貌——它不依赖什么高深的技术手段，不需要零日漏洞，弱口不用绕过WAF，令漏甚至不用写一行代码。弱口攻击者只需要猜，或者用字典跑一遍。偏偏这件事的成功率高得离谱。

弱口令的本质是人的惰性跟系统安全要求之间的落差。安全策略要求密码至少八位、含大小写字母加数字加特殊符号，但用户想的是“我一天登录八遍，弄那么复杂干嘛”。于是Abc@1234这种密码大行其道——它确实满足了复杂度要求，但它在全世界的使用频率高到任何一本密码字典的前一百行里都能找到。

我见过一个更极端的例子。某小型企业的路由器管理后台，用户名admin，密码admin。对，完全没改。这台路由器直接暴露在公网上，任何人都能通过它看到内网拓扑，修改DNS设置。后来被人挂了一个钓鱼页面，专门冒充该企业的登录入口，员工访问公司官网的时候被重定向到一个一模一样的假页面，输进去的账号密码全被截走了。整个攻击链条的起点，就是出厂默认密码没改。

弱口令的问题在于，它不是一个“漏洞”，而是一扇没锁的门。你很难说门有问题，但任何人推一下就能进来。安全圈有个说法叫“最薄弱的环节决定整体安全水平”，弱口令往往就是那个最薄弱的环节。防火墙配得再严，入侵检测规则写得再精细，一个123456就能让整套防御体系形同虚设。

为什么这个问题一直存在？因为它的代价是隐性的。改密码这件事，收益归安全部门，麻烦归每一个普通用户。用户感受不到风险，只感受到麻烦。你跟他说“你的密码太弱了，容易被爆破”，他会说“谁会来爆破我啊”。这种心态在中小企业尤其普遍——他们觉得自己的数据不值钱，不会被盯上。但自动化攻击工具不挑目标，它只是全网扫，扫到谁算谁。你的数据值不值钱不重要，你的带宽和算力值钱。

还有一个容易被忽略的点：弱口令不只是“密码太简单”。密码复用也是弱口令问题的一部分。很多人在不同平台用同一个密码，一个论坛被拖库，攻击者拿到的邮箱和密码组合就会被拿去撞其他网站。这种叫“撞库攻击”，成功率同样不低。你在某个小网站注册时随手填的密码，可能就是你公司邮箱的密码。

怎么防？技术层面的事情其实很成熟了。强制密码复杂度、定期更换、多因素认证、登录失败锁定——这些手段组合起来，弱口令的风险能压到很低。但真正难的是让人愿意配合。多因素认证多一步验证，用户就觉得烦。定期更换密码，用户就把新密码写在便签上贴在显示器边框。

我自己的做法比较务实：与其跟用户较劲，不如在系统层面兜底。比如限制单IP的登录尝试频率，超过阈值直接封禁一段时间；比如对管理后台做IP白名单，只允许内网访问；比如用密码管理器代替人脑记忆。这些措施不需要用户改变习惯，但能把爆破的窗口关掉。

弱口令漏洞听起来像是上个时代的问题，好像早就该被解决了。但每年攻防演练里，它依然是拿分最快的突破口之一。原因很简单——只要还有人懒得改密码，这扇门就一直开着。