内容摘要：去年某地公安破获了一起案件，嫌疑人用的是一个字典里排前100的密码——"123456"。就这六个数字，他进了某单位的后台，拿到了几千条公民信息。听起来离谱，但这种事每天都在发生。 弱口令的问题不在于技

去年某地公安破获了一起案件，防范嫌疑人用的弱口是一个字典里排前100的密码——"123456"。就这六个数字，令漏他进了某单位的防范后台，拿到了几千条公民信息。弱口听起来离谱，令漏但这种事每天都在发生。防范

弱口令的弱口问题不在于技术有多复杂，而在于人太懒。令漏我见过一个运维，防范服务器防火墙配得滴水不漏，弱口结果SSH密码是令漏"admin123"。问他为什么，防范他说"方便记"。弱口方便自己，令漏也方便了别人。攻击者根本不需要什么高级漏洞利用工具，写个脚本跑一遍常见密码字典，几分钟就能撞开一批账户。

弱口令到底弱在哪

不是说密码短就一定弱，而是它出现在攻击者的"必试清单"里。每年安全圈都会统计最烂密码，连续多年霸榜的就那几个：123456、password、qwerty、abc123、admin。这些词在任何一本密码字典里都排在最前面。攻击者试一万个账户，可能9999个都失败，但只要有一个人用了这些密码，他就进去了。

还有一种弱叫"规律弱"。比如公司名叫"蓝天科技"，密码就设成"lantian2024"；或者用生日、手机号后六位。这类密码在普通人眼里看着挺像回事，但在有目标的攻击者面前，社工库一查、社交媒体一翻，拼出来并不难。

为什么总是改不掉

我观察到一个现象：安全培训年年做，弱口令年年有。根本原因不是大家不知道，而是"知道"和"做到"之间隔着一道墙。强密码要求大小写加数字加符号，还得定期换，换完又记不住。于是很多人绕了一圈，最后还是回到"Password@123"这种看似合规实则一猜就中的组合。

另一个问题是默认口令。很多设备出厂就带admin/admin，装完没人改。摄像头、路由器、打印机、数据库——这些设备往往躲在网络角落里，没人管，但一旦被利用，就是攻击者进入内网的最佳跳板。2016年Mirai僵尸网络搞瘫大半个美国互联网，靠的就是几十万台物联网设备的默认口令。

能做的事其实不复杂

技术上，强制密码复杂度策略、启用多因素认证、限制登录失败次数，这些手段早就是成熟方案。但光靠技术不够。我见过一个团队做得挺实在：新员工入职第一天，IT不给他设密码，让他自己当面设，设完当场用工具跑一遍字典检测，弱口令直接打回重设。麻烦一次，后面省心。

个人层面，别再用同一套密码走天下了。邮箱、社交、支付、工作系统，至少分三档。重要的账户用密码管理器生成随机密码，自己只需要记住一个主密码。听起来麻烦，但比被盗号之后折腾找回要省事得多。

还有个容易被忽略的点：离职员工的账户要及时清理。很多弱口令问题不是密码本身弱，而是这个账户早该删了却一直留着，密码还是当初那个"welcome123"。

弱口令这事，说到底是个成本问题。攻击者的成本极低，防守者的疏忽代价极高。把密码当回事，不是什么高深的安全理念，就是最基本的门锁意识。你出门会锁门，上网也别把钥匙插在锁上就走。