2021年，弱口某大型企业内网被入侵，令种漏洞黑客没有动用任何零日漏洞，危害仅仅试了三次密码就进去了——管理员账号的性较密码是“Admin@123”。这听起来像个段子，安全但它是弱口真实发生的。弱口令，令种漏洞说白了就是危害密码太“好猜”，好猜到连暴力破解都嫌浪费算力。性较
一个密码能有多弱？安全看看每年泄露的密码榜单就知道了：“123456”“password”“qwerty”常年霸榜。更离谱的弱口是，很多系统后台默认密码压根没改，令种漏洞比如某些摄像头出厂密码是危害“admin”，路由器是性较“admin/admin”，打印机是安全“12345”。这些设备一旦暴露在公网，等于把门敞开了，连敲门都省了。
危害有多大？往小了说，个人邮箱被破解，发点垃圾邮件。往大了说，一台服务器的root密码是“root”，那整个数据库就是黑客的提款机。2016年，美国一个叫Mirai的僵尸网络，专门扫描那些用默认密码的物联网设备，最后把半个美国的网络搞瘫痪了。根源是什么？不是攻击技术多高明，是设备密码太弱。
更气人的是，弱口令往往藏在最关键的入口。比如某政务系统的后台，测试账号“test/123456”忘了删，被爬虫扫到，直接泄露了几十万条公民信息。还有一次，我朋友的公司被勒索病毒加密，IT查了半天，发现是VPN账号密码是“vpn2020”，年份加固定词，黑客字典里早就有这种组合了。
有人觉得，密码复杂了麻烦，记不住。这话有点道理，但弱口令省下的那点麻烦，往往要拿更大的麻烦去换。你可能觉得“没人会针对我”，可攻击者用的是自动化脚本，全网扫，扫到就试，根本不分你是谁。你的“方便”，就是他们的“入口”。
现实是，很多系统管理员在安全培训里被反复提醒，但实操时还是图省事。我见过某银行内网要求90天改一次密码，结果员工把密码改成“Password1”“Password2”这样递增，改了十几次又绕回“Password1”。这种“合规”比不设密码还危险——因为它给了人一种虚假安全感。
弱口令的解法其实不复杂：强制用密码管理器，启用双因素认证，对关键系统做登录失败锁定。但这需要成本，需要习惯改变。可惜的是，很多人非要等被黑一次，才肯把密码从“123456”改成“1234567”。
安全这行有个老话：黑客不看你墙多高，只看你门锁好不好撬。弱口令，就是那把一捅就开的弹簧锁。别等锁被撬了，才想起换锁芯——那会儿，屋里值钱的东西早没了。