上周三下午，中危我接到运维同事的漏洞漏洞电话，说某业务系统上传目录里被人塞了个奇怪的口令jsp文件。查日志发现攻击者是检测从后台管理入口进来的，用的处理账号密码是admin/123456。后台管理页面没做登录次数限制，中危对方用字典跑了不到十分钟就进去了。漏洞漏洞

这类事件太常见了。口令FTP弱口令漏洞在漏洞库里常年挂着中危评级，检测但实际危害往往被低估。处理中危不代表可以拖延，中危它意味着攻击者已经站在内网门口，漏洞漏洞就差推门那一步。口令我见过太多案例——FTP账户密码泄露后，检测攻击者不仅下载数据，处理还上传webshell，把整个服务器变成肉鸡。

检测思路其实不复杂。第一步查端口，21或990，用nmap扫一下全端口，避免FTP跑在非常规端口上。第二步看服务版本，vsftpd、ProFTPD、IIS FTP各自有已知漏洞，版本老了直接换。第三步就是最关键的——验证弱口令。别用那些笨重的扫描器，一条Hydra命令就行，但注意控制并发，别把对方服务器打挂了。

hydra -l admin -P /usr/share/wordlists/rockyou.txt ftp://192.168.1.100

这里要提醒一句，测试前必须拿到书面授权。我见过有同行为了省事，直接对生产环境跑弱口令扫描，结果把对方账号锁了，业务中断两小时，最后背了个处分。

发现弱口令后，处理流程要快。先临时禁用该账号，再通知业务方修改密码。密码策略别光要求长度，还得加复杂度校验——至少要12位，包含大小写字母、数字和特殊字符。光改密码还不够，得查一下这个账号最近一个月内的登录日志，看看有没有异常IP。去年某客户就吃了这个亏，改了密码没查日志，攻击者其实早就通过FTP上传了持久化后门，改密码根本没用。

整改之后还得验证。用同样方法再测一次，确认漏洞闭环。顺便检查一下同网段其他服务器，FTP弱口令往往不是个例。有一次我在一个客户那儿发现五台服务器用了同一个密码，都是ftpuser/123456——这种习惯简直是给攻击者送助攻。

日常防护上，建议把FTP服务换成SFTP或者FTPS，至少加密传输。如果业务确实需要FTP，那就加个IP白名单，限制访问来源。再配上fail2ban这类工具，连续登录失败自动封IP。这些措施加起来，能把风险降到可接受范围。

说到底，中危漏洞是提醒你该动手了，不是让你等一等。真等攻击者利用上了，事件响应成本比修漏洞高十倍不止。我处理过太多事后补救的案例，每次都在想，要是当初早点检测、早点改密码，哪至于搞到通宵应急。