它们就是那些可以被工具在几秒到几分钟内猜中的账号密码组合，典型如 root/root、admin/123456、sa/空 或者 Redis 无密码直接裸奔，覆盖 SSH、RDP、数据库、中间件等所有远程可达的入口。 只要你的服务器暴露了其中一个，攻击者就能像拿钥匙开门一样轻松进去，剩下的数据泄露、挖矿、勒索只是时间问题。
服务器弱口令有哪些常见类型
要搞清楚弱口令，先得明白它不是只有“123456”这一种，真正的弱口令是一个家族，从纯数字到默认密码，再到和用户名相同的组合，都算，下面按服务类型拆开看,你照着比对就行。
系统登录弱口令：Windows 和 Linux
Windows 服务器最常见的弱口令几乎都围着 Administrator 转。Administrator/123456、Administrator/admin、Administrator/空密码，还有干脆把密码设置成 P@ssw0rd 这种自以为是强密码的变种，Linux 服务器则集中在 root 和普通用户上，root/root、root/toor、root/123456、root/password，以及测试账号 test/test、guest/guest,都属于常规操作。
这里有个容易忽略的点：空密码 不只是不存在，很多时候是运维人员用 useradd 创建账号后没有初始化密码，导致 /etc/shadow 里对应字段为空，这种情况下 SSH 虽然不一定允许空密码登录,但本地终端或某些服务可以直接访问。
数据库弱口令：MySQL、MSSQL、Oracle、Redis
数据库是弱口令的重灾区，原因是不少开发环境图省事,直接把默认密码留在生产服务器上。
- MySQL：
root/root、root/123456、root/123456789、root/password，以及test/空，如果装了 phpMyAdmin，那admin/admin也很常见。 - MSSQL：系统内置账号
sa有大量默认弱口令，sa/sa、sa/123456、sa/空、sa/Admin123。 - Oracle：默认用户套装更是重灾区，
system/manager、sys/change_on_install、scott/tiger,这三个是行业共识里公认的默认弱口令。 - Redis：更干脆，默认绑定 0.0.0.0，密码为空，很多攻击者扫描到 6379 端口直接连上去，然后用主从同步一句命令就能拿到 root 权限。
远程管理服务弱口令：SSH、RDP、VNC、Telnet
远程登录端口一旦用弱口令,相当于把服务器大门敞开。
- SSH：Linux 服务器默认 22 端口，弱口令组合集中在
root/toor、admin/123456、user/user123。 - RDP：Windows 远程桌面 3389 更头疼，
Administrator/123456、Administrator/1234、Administrator/password是爆破工具的高频字典项。 - VNC：VNC 密码通常最多 8 位，
123456、vnc、password占了相当大比例。 - Telnet：老协议还在用的话，默认密码往往跟账号一样，
admin/admin。
中间件与运维平台弱口令
现在很多服务器不是直接给系统账号，而是通过管理面板或中间件来操作,弱口令同样突出。
- Tomcat 管理后台：
tomcat/tomcat、admin/admin,很多人部署完根本没改。 - Jenkins：
admin/admin是默认组合，Jenkins 后台能执行系统命令,比系统弱口令更致命。 - 宝塔面板：默认端口随机，但很多用户会手工改回 8888，然后设置
admin/123456之类的密码。 - Docker API：2375 端口暴露且未开启认证，空密码直接等于 root 权限。
服务器弱口令怎么改？三步完成安全加固
知道自己服务器有弱口令之后，别慌，按下面的路径一步步处理，这里不是让你简单换个密码,而是要做一次系统性的口令加固。
第一步：用工具自查，先摸清家底
手动逐个检查服务太慢，直接用扫描工具过一遍最靠谱，业内专家指出，每季度对服务器做一次弱口令扫描，是安全审计的基础动作。
- 单机检查 Linux 空密码用户，可以用
awk -F: '($2=="" || $2=="!"){print $1}' /etc/shadow。 - 网络层扫描推荐 nmap 的脚本
nmap --script=ssh-auth-methods -p22 目标IP，能看出 SSH 允许哪些认证方式。 - 如果想要实测弱口令，可以用 hydra，但务必只扫自己的服务器，命令示例：
hydra -l root -P 密码字典.txt 服务器IP ssh。 - 企业环境可以直接用商业漏洞扫描器，Nessus、绿盟或其他国产工具,这类工具会直接给出风险评分和修复建议。
第二步：修改密码策略，不留死角
扫描结果出来后，把所有弱口令账号一次性改掉，注意不是只改系统账号，数据库、Redis、中间件后台都要覆盖。
- 密码长度至少 14 位，包含大小写、数字、特殊字符,且不要用连续键盘序列和日期。
- 对 Linux，可以用
chage -M 90 用户名强制 90 天改密；对 Windows,在组策略里设定期限。 - 禁用无用账号，尤其是
test、guest这类摆设。usermod -L 用户名可以锁定账号。 - 如果服务允许，直接关闭密码登录，SSH 启用密钥认证：
PermitRootLogin prohibit-password，并把PasswordAuthentication no打开。 - 数据库端口不要暴露公网，Redis 必须加上
requirepass和protected-mode yes。
第三步：保持持续监控，防止复发
改完密码并不代表一劳永逸，攻击者可能已经留了后门,或者你的运维流程还在继续制造弱口令。
- 配置 fail2ban，连续登录失败几次就封 IP,这是很有效的止血方式。
- 定期查看登录日志，Linux 看
/var/log/secure，Windows 用事件查看器里的安全日志，关注 4625 登录失败事件。 - 把弱口令扫描纳入新服务器上线的验收流程，凡是新开的机器,必须先扫一遍再接入业务。
服务器弱口令爆破有哪些典型迹象与止损方案
弱口令被利用之前，通常会有爆破过程，发现得越早，损失越小,你要知道攻击者下手时都会留下什么痕迹。
爆破攻击的特征
- 短时间内大量登录失败：查看日志会发现同一个 IP 在几秒内尝试几十次密码。
- 账号锁定异常：Windows 域环境下，普通用户因为错误密码被锁定,可能是爆破在撞库。
- 陌生 IP 建立连接：比如服务器位于上海，但日志里出现海外 IP 成功登录,这几乎可以确定已经被突破。
- 系统负载突然升高：爆破脚本本身不算重，但攻击成功后植入挖矿程序，CPU 使用率会飙升到 90% 以上。
发现服务器被弱口令爆破后的止损流程
先断网隔离，别急着删密码，详细记录日志和进程快照,再按下面顺序处理：
- 在防火墙或安全组里屏蔽攻击 IP。
- 检查当前登录会话，把可疑 SSH/RDP 连接全部断开。
- 全面改密,覆盖所有系统账号和数据库密码。
- 检查
crontab、/etc/rc.local、Windows 计划任务,清理后门程序。 - 复查弱口令是否还存在，确认没有遗漏的 Redis、Tomcat 等边缘服务。
行业共识认为，弱口令爆破的攻击者大多没有耐心，只要你的密码足够复杂，他们就会自动转向下一个目标，所以把基础的口令防线做好,大多数扫描型攻击都能挡在门外。
关于服务器弱口令的常见问答
服务器弱口令检查工具哪个好？
这取决于你的使用场景，单台服务器快速验证，用 hydra 配合密码字典就能完成任务；整个内网批量体检，nmap 脚本或 X-Scan 更高效；生产环境持续审计，建议使用商业漏扫设备，这些工具普遍支持常见协议，SSH、RDP、MySQL、Redis，输出结果会告诉你哪个账号密码危险,照着改就行。
为什么改了弱口令还是被入侵？
多数情况下是因为你只改了系统登录密码，却忽略了其他服务，Redis 没设置认证、Tomcat 管理后台还是默认密码，或者攻击者早就在你弱口令期间植入后门并建立了隐藏账号，某些组件存在远程代码执行漏洞，跟弱口令无关，所以事后要全面排查,不要只盯着系统密码。
如何防止服务器弱口令被爆破？
最直接的办法是关闭密码登录，改用密钥认证或证书登录，如果必须保留密码登录，那就要保证密码复杂度，开启登录失败锁定，并限制来源 IP，之后，通过 fail2ban 或安全组策略，将连续失败攻击方自动拉黑，定期用工具扫描新上线服务器,就能把弱口令问题拦截在产生危害之前。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/789960.html
