弱口令与默认凭证风险排查：企业网络资产的口令安全加固
摘要：## 弱口令与默认凭证：别让“门锁”成了你公司最大的笑话 前几天，我和一个做游戏业务的朋友吃饭，他愁眉苦脸地说：“真邪门，业务量没涨，服务器账单一个月翻了快一倍。” 我让他查查云平台的登录日志。好家伙，一查吓一跳，后台管理界面在过去一个月里，被来自全球各…
弱口令与默认凭证：别让“门锁”成了你公司最大的笑话
前几天，我和一个做游戏业务的朋友吃饭，他愁眉苦脸地说：“真邪门，业务量没涨，服务器账单一个月翻了快一倍。” 我让他查查云平台的登录日志。好家伙，一查吓一跳，后台管理界面在过去一个月里，被来自全球各地不明IP用“admin:admin123”这个组合，试了不下几千次，还真成功登录过几次。对方啥也没改，就默默开了几台按量付费的高配虚拟机，用来挖矿。说白了，这就是弱口令和默认凭证没管好，给公司挖了个大坑。
这种场景你应该不陌生吧？很多公司，服务器防火墙、WAF、高防IP配得那叫一个齐全，PPT上写得“固若金汤”。结果呢？攻击者压根没去硬碰硬，绕开所有高级防护，就用最原始的口令爆破，像用万能钥匙一样，大摇大摆从“正门”进来了。这感觉，就像你家装了最贵的防盗门、监控警报，结果钥匙就藏在门口的地垫下面——防了个寂寞。
一、风险在哪？不只是“被登进去”那么简单
很多人觉得，弱口令嘛，改个复杂密码不就行了？问题要这么简单就好了。弱口令和默认凭证的风险，是连锁反应式的。
首先，它是“跳板”和“后门”的最佳选择。 攻击者才没空跟你正面硬刚DDoS。他们最喜欢干的，就是全网扫描那些用着“admin”、“root”、“123456”或者厂商默认密码的设备。一旦进去，这台机器就成了“肉鸡”。接下来，内网横向渗透、窃取核心数据、埋藏后门程序，甚至以此为据点发起对外攻击，都变得轻而易举。你的服务器，可能就成了黑客的“免费资源”。
其次，它让所有高级防护瞬间“破功”。 我见过不少企业，每年花几十万上百万买高防、买WAF，目标就是隐藏源站IP，过滤恶意流量。但如果你某个边缘系统、测试环境或者老旧设备的默认密码没改，攻击者就能从这里入手，直接摸到你的真实网络拓扑，甚至拿到通往核心区的通行证。这就叫“千里之堤，溃于蚁穴”。 所有精心设计的源站隐藏、清洗调度策略，在一条默认口令面前，可能都成了摆设。
更可怕的是“沉默的代价”。 弱口令入侵不像DDoS攻击那样锣鼓喧天。它往往是静默的，像慢性毒药。数据被一点点拖库，业务逻辑被偷偷篡改，甚至被植入勒索病毒，等到发现时，损失早已无法挽回，业务连续性彻底归零。你心里其实知道，但总抱着“没人会盯上我”的侥幸。
二、怎么查？别光靠“自觉”，得有方法
排查这事儿，不能只发个邮件让各部门“自查自改”，那基本没用。得有点“土方子”结合新工具。
- 先“扫”家底，别留死角： 很多公司的资产清单都是笔糊涂账。你不知道你有多少台服务器、网络设备、物联网终端，就更别提管它们的密码了。（我自己就遇到过，某公司离职员工留下的测试虚拟机，用的还是三年前的默认密码，在云上默默运行了两年多，成了最大的漏洞。） 定期用资产发现工具或者让运维老老实实列清单，是第一步。
- 重点关照“默认户”和“僵尸户”： 厂商默认账户（如admin、administrator）、默认密码（设备背面贴的那些）、测试期间创建的临时账户、离职员工账户……这些都是重灾区。一个都不能放过。
- 模拟攻击，自己打自己： 这就是所谓的“蓝军演练”或渗透测试。别怕丢人，可以请专业的安全团队，或者用一些合规的弱口令扫描工具（注意授权和规避生产风险），在可控范围内，模拟黑客的爆破行为。只有真被打一下，你才知道哪儿疼。
- 盯紧日志里的“怪事”： 大量来自单一IP的失败登录尝试、非工作时间的成功登录、用默认账户名登录……这些在安全日志里都是刺眼的警报。可惜，很多公司的日志系统就是个“摆设”，没人看。
三、怎么防？加固不是改密码，是改习惯
改密码只是技术动作，真正的加固，是建立一套让人“不得不遵守”、“不方便犯错”的机制。
- 强制策略，别商量： 口令复杂度必须强制（长度、大小写、数字、特殊字符），定期更换（虽然现在有争议，但对多数企业仍是简单有效的纪律）。更重要的是，严禁密码复用——别让一个密码倒下了，牵连一片系统。
- 能上双因子，就别单着： 对于所有关键系统（服务器、VPN、云平台、核心应用后台），无条件启用双因子认证（2FA）。短信验证码、APP动态口令、硬件Key都行。这相当于在钥匙之外，再加一把需要本人亲自按指纹的锁。攻击者就算蒙对了密码，也进不来。
- 权限收紧，最小化： 别给所有账号都发“皇帝”权限。按照“最小权限原则”，只给完成工作所必需的最低权限。普通员工账号绝不应该有系统级的控制权。
- 秘密管理，别硬记： 推广使用企业级密码管理工具。把那些复杂的、需要共享的运维密码、数据库密码、API密钥都放进去。既安全，又方便，还避免了员工用记事本记密码的骚操作。
- 持续教育，当故事讲： 安全培训别念PPT。就把我开头那个朋友的故事，还有网上那些因为弱口令导致数据泄露、巨额损失的新闻当案例，讲给所有人听。让大家明白，这不是IT部门的事，是关乎公司每个人饭碗的事。
说到底，弱口令和默认凭证的风险排查与加固，是个“苦活累活”，没什么炫技的高科技，但却是安全防线最实在、最基础的一块砖。很多所谓的安全方案，PPT吹得天花乱坠，真到了出事的时候，往往就倒在这第一道门槛上。
别再让你的网络资产，像一间间虚掩着门的金库了。从今天起，把每一把“锁”都当真锁来管。毕竟，真等贼进了屋，再好的防盗网，也拦不住人家从里面把门打开，对吧？