上周三凌晨两点，网站安全组例行扫描发现某业务后台的弱口登录接口在30分钟内出现1.2万次失败尝试。顺着IP追下去，令整攻击者用的改报告字典里全是"admin/123456""test/888888"这类组合。更让人后背发凉的网站是，其中一个账号密码是弱口"root/root"——这个后台管理着全国300多家门店的库存数据。

这不是令整演习。我们当天上午就拉了个临时小组，改报告把公司所有对外暴露的网站Web系统、VPN入口、弱口数据库管理页面翻了个底朝天。令整结果不乐观：47个登录点里，改报告有11个存在弱口令问题，网站占比23%。弱口最夸张的令整是一个内部OA的测试账号，密码居然是"qwer!@#$"——看着复杂，但键盘上从左到右划拉一遍就出来了。

弱口令为什么总也禁不掉

我找几个业务线的负责人聊了聊。他们的反应出奇一致："知道有问题，但改起来太麻烦。"有个运维老哥说得更直白："每次强制改密码，客服电话就被打爆，用户记不住新密码，全来骂人。"这话听着像借口，可仔细想想，确实是个死循环——安全要求密码复杂，用户嫌麻烦就写便利贴上，便利贴丢了反而更危险。

技术层面也有坑。我们查到一个老系统，密码策略居然还是"最少6位，无复杂度要求"。代码是2015年写的，当时的设计文档里明确写着"为方便客户快速接入，降低密码门槛"。七年过去，这个系统还在跑，客户还是那批客户，但攻击者的字典早就不一样了。

我们具体做了什么

第一刀砍向最要命的地方。所有管理员级别的账号，强制启用双因素认证。短信验证码也好，TOTP动态口令也罢，反正光靠密码进不来。这一步推得最顺利，因为管理员自己也知道风险，配合度高。

普通用户这边，策略调整得更务实。不再要求"大小写+数字+符号"这种反人类组合，改成强制12位以上，但允许用长短语。比如"woaini123456"这种，虽然看着简单，但长度够了，暴力破解成本直线上升。同时上线了密码泄露检测——用户设密码时，系统自动比对已知泄露库，中了就弹窗提醒。

还有个细节：我们把登录失败锁定阈值从10次降到了5次。别小看这个改动，攻击者试错成本翻了倍。配合IP限速和验证码，那晚那种1.2万次尝试的情况，现在撑不过200次就会被掐断。

整改后的数据

两周后复扫，11个弱口令点全部清零。但我知道这事没完。新系统上线、人员流动、临时账号……弱口令就像野草，稍不留神就冒出来。所以我们把弱口令扫描塞进了CI/CD流水线，代码合并前自动跑一遍，有弱口令直接卡住不让上线。

另外加了个"红蓝对抗"的小机制。蓝军每个月随机挑三个系统，用公开字典跑一遍，跑通了就给对应团队发"安全蜗牛奖"——一个真的蜗牛玩偶，摆在工位上丢人。第一个月发了两个，第二个月没人领了。

说句实在话，弱口令这事技术含量不高，但特别考验耐心。它不像SQL注入那样有炫技空间，就是一遍遍查、一遍遍改、一遍遍提醒。可偏偏就是这种笨功夫，能挡住大部分自动化攻击。我们安全圈有句话：漏洞不分高低贵贱，能进来的就是好漏洞。弱口令，恰恰是那个最容易被忽略的"好漏洞"。

最后提一嘴，那个用"root/root"的账号，已经改成了一串32位的随机密码，存在密码管理器里。运维老哥说现在登录得复制粘贴，麻烦是麻烦点，但至少晚上能睡踏实了。