整理上季度处理的安全事件，十几起里只有两起是高级漏洞，其余全是同一个原因：密码太弱。admin888、公司名加123、后台和邮箱用同一个密码——攻击者拿着常见密码字典挨个试，试中一个就进。聊网站安全防护，大家爱聊防火墙和WAF，但把自家账号密码管好，能挡掉一大半真实攻击。
弱口令怎么被利用的
爆破脚本一天能对后台发起上万次尝试，常见组合就那几百个，命中率比想象中高。更被动的是撞库：你在别处泄露过密码，攻击者拿同一组来试网站后台。我们见过最离谱的一例，FTP密码是公司电话号码，而电话号码就印在官网首页上。
日志里的爆破痕迹非常好认：同一个后台地址，每天几千次POST请求，用户名字段轮着换常见的组合。有些客户看到日志吓一跳，其实有这道痕迹反而是好事——说明你的登录页在被扫，而防线还在。真正可怕的是日志干干净净、账号却悄悄多了一个。
管密码的四条硬规矩
- 后台、服务器、数据库、邮箱，每个系统独立密码，禁止复用
- 长度优先于复杂度，十二位以上的无规律短语比符号堆砌好记也难破
- 管理后台开启两步验证，密码泄露了也进不来
- 后台路径别用默认的admin，加一道登录失败锁定，试错五次锁半小时
两步验证也别一刀切：给管理员开，给普通投稿账号可以放宽，不然安全做成了不方便，大家会想尽办法绕过它。安全的落地标准不是配置表多漂亮，是没人找借口绕行。
别忘了一些冷门入口
数据库远程端口、服务器SSH、FTP，还有那些年注册过的第三方插件账号，都是弱口令的重灾区。离职员工的账号要及时禁用——现实里太多入侵，就是从没人管的旧账号进来的。密码管理其实是网站安全防护里性价比最高的一环，不用花一分钱，只需要纪律。
再补一个源头建议：密码不用脑子记，用密码管理器。把所有密码塞进一个带主密码的库里，每个系统独立随机密码，人只需要记住一条。习惯养成了，改密码的成本从“想起一堆”变成“一键生成”，纪律才守得住。改完密码别发工作群里，逐个私发到人，聊天记录里的密码等于公开。有条件的话九十天轮换一次，虽然麻烦，但比出事后强制重置体面得多。
建议
这周开个短会，把全公司对外系统的密码统一过一遍，至少先改掉后台和服务器的。想系统性检查弱口令风险的，比格网络做网站安全防护体检时会连日志爆破记录一起看，哪些账号天天被试、试的什么密码，一目了然。
