弱口令扫描与密码策略的最佳实践

该文章由AI生成，仅为SEO优化测试，相关内容不保证准确！！！

引言

大量入侵事件的起点不是高级漏洞，而是一个弱口令：admin/123456、test/test、数据库 root 空密码。弱口令的问题在于它让所有其他防护形同虚设——攻击者用合法口令登录，防火墙和 WAF 都不会拦。

一、弱口令的常见形态

① 默认口令：设备与软件出厂默认（admin/admin、root/root）；② 简单规律：123456、password、公司名+123；③ 信息推断：域名、公司名、姓名拼音+生日；④ 多站复用：其他站点泄露后撞库；⑤ 历史遗留：测试账号、临时账号忘了删。攻击者的字典就是按这些规律构造的，密码喷洒（用同一个弱密码试大量账号）比逐账号爆破更隐蔽。

二、自查方法

① 系统层面：检查所有账号（包括已离职员工的）、空密码账号：awk -F: '($2==""){print $1}' /etc/shadow；② 服务层面：数据库、Redis、后台、FTP 的口令逐个核对，Redis 未设口令+绑定 0.0.0.0 是重灾区；③ 业务层面：后台导出用户表，对口令 hash 做弱口令字典碰撞（加盐 hash 无法直接比对明文，但可用相同算法计算候选弱口令的 hash 比对）；④ 外部视角：用爆破工具对自己做受控测试（务必只针对自有资产）。发现弱口令立即改，并排查该账号是否有异常操作记录。

三、密码策略设计

过时的策略（强制 90 天更换、必须含特殊字符）已被 NIST 等新标准修正，推荐做法：长度优先：最低 8 位、建议 12 位以上，长度比复杂度更影响熵；拒绝常见口令：维护一个弱口令黑名单（常见密码、公司相关词、键盘序列），注册与改密时校验拒绝；不强制定期更换：频繁更换反而导致规律化（Password1→Password2），只在有泄露迹象时要求更换；泄露库校验：改密时对照已知泄露口令库拒绝。技术实现上，口令必须加盐慢哈希存储（bcrypt/argon2），绝不能 md5 明文可比。

四、双因素认证（2FA）落地

口令再强也可能被钓鱼或撞库，重要账号必须加第二因素：TOTP 动态码（Google Authenticator 类）成本低体验好，是首选；短信验证码可用但防不住 SIM 卡劫持；硬件密钥（FIDO2）最强适合管理员账号。落地范围优先级：服务器 SSH、数据库管理、云控制台、网站后台管理员 > 普通员工账号 > 普通用户（可选）。

总结

弱口令治理三步：全面自查（系统+服务+业务+外部视角）→ 策略升级（长度优先、黑名单拒绝、慢哈希存储）→ 重要账号双因素。另外，凡是“能用密钥登录的就不要用密码，能加白名单的就不要暴露公网”——减少口令暴露面比强化口令更彻底。