上周三凌晨两点，网络运维老张在监控大屏上看到一条异常登录记录——某台测试服务器被从巴西IP成功登录，弱口账号是令整admin，密码是改报告123456。他当场骂了句脏话。网络这台机器本该只在内网访问，弱口但防火墙规则上个月调整时漏了一条。令整弱口令这件事，改报告平时没人当回事，网络出了事就是弱口大事。

我们这次排查覆盖了公司全部217台服务器、令整83台网络设备和46个数据库实例。改报告结果不意外，网络但数字还是弱口让人不舒服：37台设备存在弱口令，占比超过12%。令整其中11台用的是“admin/admin”或“root/root”这类默认组合，9台密码长度不足8位且全是数字，剩下17台虽然密码稍复杂，但已经超过两年没换过。最离谱的是一台旧版Jenkins服务器，密码是“jenkins123”，而它的管理端口直接暴露在公网。

为什么弱口令屡禁不止？我跟几个同事聊过，原因很具体。新设备上架时，为了图省事，先用简单密码跑通再说，然后就没有然后了。外包人员离场后，他们创建的临时账号没人清理，密码往往就是“公司名+123”。还有一类是“历史遗留”——某台Windows Server 2003的机器还在跑老ERP，密码是当年实施顾问设的“sa”，没人敢改，怕改完应用连不上。

整改动作分了三步走。第一步，对37台设备全部强制重置密码，要求12位以上、大小写字母+数字+符号混合，且不能包含公司名、产品名或连续键盘序列。第二步，把默认账号和长期未登录账号直接禁用或删除，一共清理了19个僵尸账号。第三步，给所有运维人员配发硬件令牌，关键系统登录必须二次验证。这三步做完，用了不到48小时，但真正的麻烦在后面——怎么防止反弹。

我的判断是，光靠制度和检查不够。人都有惰性，你让他每90天换一次复杂密码，他大概率会把新密码写在便签上贴显示器边框。所以这次我们上了两样东西：一是密码管理器，所有设备密码由系统随机生成并加密存储，运维人员不需要知道明文，登录时自动填充；二是定期自动扫描，每周日凌晨跑一次弱口令检测，结果直接推送到运维群，谁负责的设备谁认领。第一次自动扫描时又抓出3台漏网之鱼，其中一台是某同事为了调试临时改回简单密码，忘了改回去。他在群里发了红包道歉。

有个细节值得记下来。那台暴露在公网的Jenkins服务器，整改时发现已经被植入了挖矿脚本，CPU占用率长期在90%以上，但因为业务本身负载就高，没人注意到。清理完弱口令后，我们顺带做了全盘扫描，又揪出两个后门账户。这说明弱口令往往不是孤立问题，它背后可能连着更深的入侵痕迹。

现在回头看，弱口令整改最难的从来不是技术，而是让人意识到“简单密码”和“没密码”在攻击者眼里差别不大。自动化扫描工具每秒能试上千个组合，你设的“admin888”撑不过三秒。我写这份报告时，又收到一条新告警：某台新上架的测试机用了“test/test”。你看，这事永远没完。