内容摘要：上周帮一家制造企业做安全巡检，他们的网管一脸愁容。车间里三台核心交换机的SNMP community字符串还是出厂默认的“public”，连扫描器都懒得爆破，直接读出了整个内网的ARP表。这种问题太常

上周帮一家制造企业做安全巡检，弱口他们的令漏网管一脸愁容。车间里三台核心交换机的洞解SNMP community字符串还是出厂默认的“public”，连扫描器都懒得爆破，弱口直接读出了整个内网的令漏ARP表。这种问题太常见了，洞解但很多人根本没意识到它有多危险。弱口

SNMP弱口令说白了就是令漏设备管理接口的钥匙挂在门上。攻击者拿到read权限能偷走全部配置和流量统计，洞解拿到write权限更狠，弱口直接改VLAN、令漏关端口、洞解下发错误路由。弱口我见过最夸张的令漏一次，某医院的洞解核心交换机被改了SNMP trap目标地址，所有告警全部失效，设备宕机两天没人察觉。

解决的第一步永远是改掉默认community。别用什么“admin123”这种自欺欺人的字符串，生成16位以上的随机串，字母数字特殊符号混着来。记住，v1和v2c的community是明文传输的，抓包就能看到，所以这只能算基础防护。真正要治本，得升级到SNMPv3。

SNMPv3的认证和加密是分开配置的。认证用SHA或MD5，加密用DES或AES，别嫌麻烦，每个参数都设上。我见过有人只配了认证没配加密，觉得这样够安全了——这想法跟把家门锁了但窗户大开没区别。抓包工具照样能还原出完整的OID树。

还有个容易忽略的细节：访问控制列表。就算你改了community，如果没限制源IP，内网任何一台被攻陷的机器都能拿这个字符串去撞设备。正确做法是只允许网管跳板机的IP访问UDP 161端口，其他来源一律丢弃。有些老设备不支持ACL，那就用防火墙规则挡在前面。

别光盯着交换机路由器，打印机、UPS、温湿度传感器这些物联网设备更爱用弱口令。上次巡检发现一台网络打印机的SNMP community是“private”，通过它居然能读到财务共享文件夹的访问记录——打印机一般会加入域环境，这个入口比想象中危险得多。这些设备能升级固件就升级，不能升级的干脆在交换机端口上把SNMP协议禁掉。

改完配置记得做两件事：一是用snmpwalk从外部验证一下旧community是否真的失效，二是查看设备日志有没有异常读取记录。有些设备改配置后需要重启服务才会生效，别改完就以为万事大吉。另外，把配置备份到本地，防止有人误操作把新密码搞丢。

最后说个反直觉的事：别把所有设备都设成同一个SNMP密码。攻击者拿到一个就等于拿到全部。按安全级别分三组——核心网络设备一组、服务器带外管理一组、物联网终端一组，每组用不同字符串。管理起来是麻烦点，但真出事的时候，这个习惯能帮你把损失控制在一个小范围内。