2021年，什弱某知名安全公司发布年度数据泄露报告，口令其中72%的漏洞入侵事件源头，不是什弱0day漏洞，不是口令APT攻击，而是漏洞一组简单到可笑的密码——"123456"。这就是什弱弱口令漏洞，一个在技术上毫无门槛，口令却让无数企业栽跟头的漏洞安全缺口。

弱口令的什弱本质，是口令数字身份认证的失效。系统要求你设置密码，漏洞本意是什弱建立一道门禁，结果有人直接把钥匙挂在门上。口令常见的漏洞弱口令逃不出这几类：纯数字组合如"888888"、"666666"；键盘顺序如"qwerty"、"asdfgh"；姓名拼音加生日，比如"zhangsan1990"；还有万年不变的"password"和"admin"。这些密码在黑客的字典攻击面前，破解时间以毫秒计算。

我见过最离谱的案例，是一家电商公司把数据库管理员的密码设为"admin123"。这个密码用了三年，直到某天竞争对手的爬虫直接登进后台，把商品价格表全量下载，然后针对性调价，打得他们毫无还手之力。事后排查，日志显示攻击者连暴力破解都懒得用，直接输入密码就进去了。

弱口令漏洞最阴险的地方在于，它不挑系统。无论你的防火墙多贵，入侵检测多先进，只要有人用了弱密码，所有防护就成了摆设。就像给装甲车装了最厚的钢板，结果车门没锁。更麻烦的是，员工会轮换，密码会沿用。老张离职了，他的"zhang2020"可能还挂在OA系统上。新来的小李不知道，黑客却门儿清。

有人觉得，设置复杂密码不就完了？但现实是，人的记忆有极限。一个普通员工可能要记住十几个系统的密码，于是他们发明了"密码复用"——所有平台用同一个密码。一旦某个小论坛被拖库，黑客拿到邮箱和密码，就会拿去撞库，尝试登录公司邮箱、VPN、财务系统。这叫撞库攻击，本质还是弱口令的变种。

有些企业搞过强制改密策略，要求90天换一次，结果员工把新密码设成"zhang2020!"或者"zhang2021"，就改了个数字。这种应付式操作，反而催生了更多规律性密码，让黑客的字典库更丰富。微软在2020年干脆取消了强制改密建议，因为他们研究发现，频繁改密反而促使了更弱的密码产生。

真正有效的防线，其实是多因素认证。密码被破解了，但攻击者拿不到手机验证码，一样进不去。可很多中小企业觉得麻烦，觉得多一步验证影响效率。等到真出事，才发现恢复数据、公关道歉的代价，比那点效率成本高上百倍。

弱口令漏洞不是一个技术问题，而是一个管理问题。它考验的是组织对安全的态度——是走形式地要求"密码必须八位以上"，还是真正理解"密码是最后一道防线"。别指望员工自觉，也别迷信技术万能。定期用工具自查一下系统里的弱口令账户，比买再贵的防火墙都管用。

说到底，黑客没那么神，他们只是比你更早发现那把没锁的门。