弱口令安全风险：默认密码是黑客的第一扇门

2022年，一家做物流的中小企业被黑客入侵，财务系统里的50万资金被转走。公安局网安支队来调查，查下来原因简单得令人无语：财务系统的管理员密码是admin123。

黑客用了一个自动化工具，3分钟就跑出了这个密码。进去以后，提权、横向移动、找到财务系统，整个过程不到2小时。50万就这么没了。

弱口令，是企业网络安全中最容易被忽略、却又最致命的漏洞。

弱口令到底有多普遍

某安全公司做过一次测试，扫描了10万家企业的对外暴露的服务，发现37%的远程桌面服务使用的是弱口令。最常见的弱口令TOP10：123456、admin、password、111111、qwerty、12345678、123456789、abc123、123123、admin123。

很多企业买了防火墙、装了杀毒软件、做了等保测评，结果一个弱口令把前面的所有投入全废了。这就像你家装了防盗门、监控摄像头，但钥匙藏在门垫下面。

方式一：暴力破解。用自动化工具，每秒尝试几千个密码组合，直到试出来为止。一个6位纯数字密码，现代GPU几秒钟就能跑完。

方式二：字典攻击。不用随机组合，而是用一个”密码字典”——包含常见的弱口令、 leaked passwords from previous breaches、以及跟目标相关的词汇（比如公司名、老板名字）。字典攻击比暴力破解效率高得多。

方式三：撞库攻击。黑客手里有 millions of leaked username-password pairs from previous data breaches。他们用这些组合去尝试登录其他网站。很多人所有网站都用同一个密码，A网站泄露了，B网站也跟着遭殃。

那家物流公司的admin123，属于典型的字典攻击目标。任何自动化的字典里都有admin123这个组合。

很多人觉得：弱口令最多就是被人登录看看，能有多大损失？实际上，弱口令往往是连锁攻击的起点。

第一步：拿到一个普通账号。比如企业邮箱的弱口令账号。

第二步：用这个账号发钓鱼邮件。因为是从企业内部邮箱发出的，其他员工更容易相信。更多人中招。

第三步：拿到更高权限的账号。比如IT管理员的账号。有些企业的密码策略是”各部门密码统一格式”，普通员工密码是”部门名+123″，管理员密码是”admin+部门名+123″。拿到一个就能推导出其他。

第四步：进入核心系统。财务系统、客户数据库、源代码仓库。想干嘛干嘛。

我见过一个案例：黑客先是通过弱口令进入了一个企业的内部论坛，然后发现论坛数据库跟HR系统用的是同一个数据库账号。通过这个账号，拿到了全公司200多人的个人信息，包括身份证号、银行卡号。最后勒索80万，不然就公开数据。

个人用密码管理器就够了，企业不行。企业需要一套完整的密码策略：

密码复杂度要求：至少12位，包含大小写字母、数字、特殊符号。不要用常见的组合规律，比如”Company2024!”这种，字典里也有。

定期更换：核心业务系统每90天强制更换一次。普通系统每180天。不要设得太频繁，否则用户会用”Password1″”Password2″这种规律，反而更容易被猜。

禁止密码复用：不同系统必须用不同密码。这个靠自觉没用，要靠密码管理系统或者单点登录（SSO）。

多因素认证（MFA）：核心系统必须开。就算密码泄露了，没有第二因素（比如手机验证码、硬件令牌、指纹），黑客也进不来。

账号锁定策略：连续输错5次密码，账号锁定15分钟。防止暴力破解。

离职人员账号立即禁用：很多企业的漏洞不是来自外部黑客，而是来自前员工。离职了账号没关，或者密码没改，风险很大。

企业级密码管理：1Password Business、LastPass Enterprise、Bitwarden Enterprise。可以集中管理全公司的密码，自动填充，自动生成强密码。

单点登录（SSO）：用一套账号密码登录所有系统。减少员工需要记的密码数量，从而降低他们用弱口令的概率。常见的SSO方案有Microsoft Azure AD、Okta、OneLogin。

那家装admin123的公司，后来上了密码管理系统+SSO+MFA三重保障。老板说：之前觉得这些太麻烦，现在才知道，比起丢50万，这点麻烦算什么。

弱口令是最好修、却也最容易被忽略的漏洞。修好了弱口令，你的网络安全水平就超过了80%的企业。

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

免费小工具推荐：

联系方式：