上周三凌晨两点，网络我登录一台测试服务器，安全随手试了试admin/123456，弱口进去了。令排不是查整查报靶场，是改自告公司线上环境的一台边缘节点。那一刻后背有点发凉——这台机器已经跑了四个月，网络没人改过密码。安全

弱口令这事，弱口说起来老生常谈，令排但真正去查的查整查报时候，你会发现它比想象中普遍得多。改自告我们这次排查覆盖了内部OA、网络数据库、安全中间件、弱口网络设备、堡垒机等一共237个资产节点。用自动化脚本跑了一遍常见弱口令字典，命中率大概在11%左右。也就是说，每十个登录入口，就有一个能用"admin/admin""root/root""test/test"这类组合直接打开。

最离谱的一个案例是某台Redis。没有密码，端口还对着公网开着。我连上去看了一眼，里面已经被人写了三个key，内容是挖矿程序的下载链接。什么时候被写入的？日志显示是两个月前。没人发现。

问题出在哪儿？我观察下来，倒不全是大家安全意识差。更多时候是"临时用一下"变成了永久。部署的时候想着先跑起来再说，密码设个简单的，回头改。然后就没有回头了。项目一忙，谁还记得某台跳板机上那个"temp123"？

还有一类是设备默认口令。打印机、交换机、IPMI带外管理口，出厂就是admin/admin或者admin/password。装机器的人觉得内网嘛，无所谓。但内网不等于安全——横向移动这种事，攻击者比我们熟练。

整改动作分了几步走。先批量扫，把所有命中弱口令的节点拉了个清单，按暴露面排优先级。公网可达的、含敏感数据的、权限高的，当天就改。内网低风险的，给了三天窗口期。密码策略也收紧了：最小12位，大小写加数字加符号，90天强制轮换，禁止最近5次复用。技术上开了SSH密钥登录，关掉密码认证，能上堡垒机的全部收编。

但光靠技术手段不够。我特意做了个事：把这次扫出来的弱口令清单脱敏后发到技术群里，没说谁负责的机器，就让大家自己看。有人当场认领，说"这台是我的，我马上改"。这种peer pressure比发整改通知单管用。

另外加了一条规矩：新资产上线前必须过一遍弱口令扫描，没过的不给IP。从源头卡住，比事后补救省力得多。

说个细节。整改完之后我又跑了一次扫描，命中数为零。但我知道这不代表安全了——字典里没有的弱口令、社工能猜到的密码、泄露在外的凭证，这些扫不出来。安全这件事，没有"完成"的状态，只有"暂时没出事"。

所以自查报告写到这儿，结论就一句话：弱口令排查不是一次性的活，得当成日常巡检的一部分。下个季度我还会再扫一遍，谁知道这三个月里又多了多少台"临时用一下"的机器呢。

(责任编辑：知识)