关于信息平台存在弱口令高危漏洞的整改

上周三凌晨两点十七分，关于高危改我盯着监控大屏上那串刺眼的信息登录日志，后背发凉。平台某业务系统的存弱管理员账号，在三天内被异地IP尝试登录了四百多次，口令最终成功进入后台。漏洞密码是关于高危改什么？Admin@123。这个密码，信息系统上线时就在用，平台整整两年没换过。存弱

这不是口令孤例。我们抽检了内部十二个信息平台，漏洞其中七个存在类似问题。关于高危改财务系统的信息运维账号密码是Finance2020，考勤系统的平台管理员密码干脆就是123456。最离谱的是某个对接外部供应商的接口平台，账号test，密码test，就这么赤裸裸挂在公网上，像没上锁的保险柜。

弱口令的危害，很多人觉得“不就是个密码简单点嘛”。真不是。攻击者拿到一个低权限账号后，可以横向移动，提权，内网渗透。去年某省社保系统被入侵，源头就是某第三方运维人员的账号密码是Qwer1234。数据泄露，波及几十万参保人。那家运维公司事后被追责，赔了钱，但影响已经造成了。

整改工作分三步走。第一步，立刻强制所有平台账号密码复杂度校验，密码至少十二位，包含大小写字母、数字和特殊字符，且不能是连续键盘序列或常见单词变形。有人抱怨麻烦，但想想看，你银行卡密码敢设六个零吗？

第二步，建立定期改密机制，关键系统每九十天强制更换一次。这招看着笨，但有效。内部系统加个过期提醒，到期不换就锁定账号，必须走审批流程解锁。刚开始会有人不习惯，但坚持两个月，大家就都顺手了。

第三步，也是最容易被忽略的——清理僵尸账号。我们查了下，有个系统有四十多个账号，其中十几个是离职员工的，从未禁用。这些账号就像没人住的空房，最容易招贼。花了两天时间，逐个核对，该删的删，该禁的禁。现在账号总数少了三分之一，管理反而轻松了。

还有个小细节，登录失败次数限制和双因素认证。连续输错五次密码，账号自动锁定十五分钟。管理员登录必须走短信验证码。这两个措施一上，暴力破解基本就断了路。

整改通知发出去一周后，我再复查那七个平台。密码都换了，复杂度也达标了。但我知道，这只是开始。真正的挑战是让每个人都绷紧这根弦，而不是等着系统提醒“您的密码已过期”。毕竟，安全这东西，三分靠技术，七分靠习惯。