弱口令

弱口令(Weak Password)是指强度过低、容易被他人猜测或被工具破解的密码,常见例子包括 123456、password、admin、生日、手机号等。

概述

口令(密码)是最基础也最普遍的身份认证方式。当用户为了方便记忆而选择过于简单的组合,或系统上线后未修改出厂默认密码时,就产生了弱口令。攻击者只需借助公开的常用密码字典和自动化工具,往往在极短时间内即可完成破解。

在各类安全事件与渗透测试报告中,弱口令长期位居高频漏洞之列。它不需要复杂的技术手段即可利用,却可能直接导致账号被盗、服务器被入侵、数据库被拖库,甚至成为勒索软件和僵尸网络入侵内网的突破口。路由器、摄像头、数据库、后台管理系统等使用默认口令的设备和服务,是重灾区。

常见类型

• 纯数字或键盘规律组合:如 123456、111111、qwerty、1qaz2wsx 等。
• 常见单词与默认口令:如 password、admin、root、出厂默认的 admin/admin 组合。
• 个人信息类:用姓名拼音、生日、手机号、公司名等易被社工猜到的信息做密码。
• 一码多用:密码本身不弱,但多个网站重复使用,一处泄露即可被「撞库」攻击波及全部账号。

如何防范

• 使用足够长度的密码,混合大小写字母、数字和符号,或采用多个随机单词组成的口令短语。
• 不同网站使用不同密码,借助密码管理器生成并保存随机强密码。
• 系统和设备上线前务必修改默认口令,并对后台登录做失败次数限制。
• 为重要账号开启两步验证(2FA),即使密码泄露也能多一道防线。

常见问题

问:多长的密码才算安全?答:一般建议至少 12 位以上,并混合多种字符类型;长度比复杂符号更重要,一句好记的长口令短语通常优于短而怪的组合。

问:密码里加了特殊符号就不是弱口令了吗?答:不一定。像 P@ssw0rd 这类常见变形早已收录进破解字典,规律性替换并不能显著提高安全性。

问:怎么检查自己是否在用弱口令?答:可以自查密码是否属于常见组合、是否包含个人信息、是否多站复用;许多密码管理器也提供弱密码和泄露密码检测功能。