我见过最离谱的弱口弱口令，是令漏某公司财务系统管理员把密码设成了“admin888”。更离谱的意思是，这密码用了三年，弱口直到有人用这个账号登录，令漏把公司账上两百多万转走了。意思事后查日志，弱口登录时间凌晨三点，令漏IP地址在境外，意思密码输入一次就成功了。弱口

弱口令漏洞说白了，令漏就是意思你的密码太容易被猜中。它不像代码漏洞那样需要高超技术，弱口纯粹是令漏人为疏忽。银行取款密码六位数字，意思有人敢设“123456”；企业邮箱密码要求大小写加符号，有人偏要设“Password1”。这类密码在黑客工具面前，跟没锁门差不多。

攻击者根本不用费劲破解。他们手里有庞大的“字典”，里面装着几百万条常见密码组合，从“qwerty”到“iloveyou”，从“12345678”到“abc123”。用工具自动尝试，一个普通网站的管理后台，一晚上能试几千次。遇到没做登录次数限制的系统，破译只是时间问题。

我认识一个做安全测试的朋友，他说接过的渗透测试项目里，八成以上都能靠弱口令直接进后台。最夸张的一次，客户让他测试某医院的挂号系统，他试着用“admin/123456”登录，结果直接进了院长管理界面，能修改所有医生的排班。他当时就愣住了——这哪是安全测试，分明是开门检查。

弱口令的危害被严重低估。很多人觉得，我的账号又不重要，被破解了能怎样？现实是，黑客拿到一个低权限账号后，会横向移动。比如先攻破某个员工的邮箱，从邮件里翻出VPN账号密码，再通过VPN进入内网，最后找到数据库服务器。每一步用的可能都是弱口令，链条就这么串起来了。

还有个隐蔽的坑——默认密码。很多设备出厂时都有默认密码，比如路由器是“admin/admin”，摄像头是“root/12345”。装好以后没人改，这些设备就成了黑客的跳板。前几年发生的摄像头被入侵事件，大量家庭隐私画面被直播，罪魁祸首就是厂商设的默认弱口令。

怎么防？技术上其实很简单：密码长度至少12位，混合大小写字母、数字和特殊符号，不同系统用不同密码。但难的是人的习惯。让一个六十岁的会计记住“Kx9#mP2@vLq”这种密码，不现实。所以现在很多系统加了双因素认证，密码加短信验证码，就算密码泄露，没有第二步也登不进去。

最讽刺的是，很多企业花大价钱买防火墙、装入侵检测系统，却没人管管“123456”这种密码。安全设备再贵，也挡不住有人主动把钥匙插在锁孔里。真正的漏洞从来不在代码里，而在人脑子里。