打开那台OA服务器的弱密WUI页面，地址栏里明晃晃挂着wuiweakjsp这个路径。码检这不是测访什么正经文件名，倒像是弱密开发人员随手敲的测试后门。我试了三个账号——admin/123456、码检test/test、测访system/888888——全进去了。弱密后台数据一览无余，码检连员工工资条都能下载。测访

弱密码检测这事儿，弱密很多人以为就是码检跑个字典。真干起来才发现，测访最要命的弱密问题往往不在密码本身，而在那些不该存在的码检入口。比如这个wuiweakjsp，测访正常OA系统根本不会有这种命名。它大概率是某个开发阶段留下的调试页面，上线时忘了删。更离谱的是，这个页面连验证码都没有，登录失败也不锁定账号。我拿Burp Suite跑了一轮，每秒能试两百个密码，半小时不到就撞出五个有效账户。

企业里用弱密码的，往往不是普通员工。普通员工被强制要求改复杂密码，反而那些系统管理员、运维账号，图省事设成admin@123或者qwer1234。我见过一个案例，某公司的财务系统管理员密码是caiwu2023，而财务部所有电脑的桌面便签上都写着这个密码。问就是“方便记”。

检测弱密码，光靠工具扫没用。你得先摸清目标系统的登录逻辑。有些OA把密码错误提示做得特别细——“用户名不存在”和“密码错误”分开显示，这等于告诉攻击者哪些用户名是有效的。还有的系统，登录接口返回的HTTP状态码不一样，200是成功，302是密码错，401是用户不存在。这种细节，写检测脚本的时候必须考虑进去。

再说回wuiweakjsp这个路径。我后来查了日志，发现它每天凌晨三点会被访问一次，IP来自内网某个运维跳板机。也就是说，有人一直在用这个后门。可能是自动化脚本，也可能是某个老员工图方便。不管哪种，都说明一件事：弱密码检测不能只盯着密码复杂度，还得查系统里有没有多余的、不该存在的接口。

实际操作中，我习惯先做三件事。第一，用nmap扫一遍开放端口，看看有没有非标准端口跑着Web服务。第二，用dirsearch跑常见后台路径，wuiweakjsp这类名字通常藏在字典里。第三，抓一次登录请求，看密码是明文传输还是加密的。如果是明文，直接中间人截获就行，连爆破都省了。

有个细节值得说：很多OA系统在修改密码时，只校验新密码的复杂度，不校验旧密码。这意味着攻击者只要能访问修改密码页面，就能直接重置管理员密码。我遇到过一台服务器，/wuiweakjsp?action=reset这个地址不需要登录就能访问，输入用户名和新密码就完事。这种漏洞比弱密码本身危险十倍。

检测报告写出来，别只列一堆“高危”“中危”。要给出具体利用路径。比如：“通过wuiweakjsp页面，使用admin/123456登录，可访问/exportData接口，下载全部员工个人信息。”这样业务部门才看得懂，才会去改。我见过太多报告，写满CVSS评分，结果运维人员回一句“看不懂，先放着”。

最后说个观察。弱密码检测做多了，会发现一个规律：越是老旧的系统，弱密码越多。不是管理员懒，而是这些系统往往没有强制密码策略的选项。一个跑了八年的OA，数据库里还存着MD5哈希，你让它怎么强制复杂度？只能靠外围的WAF或者堡垒机挡一挡。但wuiweakjsp这种直接暴露的页面，WAF规则根本覆盖不到。

所以，下次看到类似wuiweakjsp的地址，别犹豫，先试三个弱密码。进去了，就说明这个系统从开发到运维，整条链子都松了。