弱口令自查清单

服务器被入侵的原因里，弱口令常年排在前列。它不挑目标——攻击者拿着通用字典全网扫描，中招与否只取决于你的密码在不在字典里。按下面的清单过一遍自己的机器，逐项核对。 哪些属于必须立即改的弱口令：纯数字或连续字符，比如 123456、abcdef；常见单词加年份，比如 admin2024；与用户名相同或只差大小写；与公司名、域名、手机号相关的组合；多台服务器共用的同一个密码。数据库与缓存层面还有几个高频雷区：root 空密码、Redis 未设密码直接暴露、管理面板保持出厂默认口令，全部在清理范围内。 改密的优先级按暴露面排。公网可直接访问的服务最优先：SSH、数据库远程端口、各类 Web 管理后台、FTP；排在第二档的是跳板可达的内部数据库与缓存；内网且仅运维能碰的设备放在最后。同一台机器上，先改对外暴露的，再改对内的，顺序别颠倒。改密的动作要当天完成并登记在案，谁改的、改到哪一台，记录清楚，避免出现两台改了、第三台忘了的局面。 新密码的要求不需要复杂到记不住，长度够、不规律就行：至少十二位，混合大小写、数字与符号，不用任何与业务相关的词。更好的做法是干脆不记——用密码管理器生成与保存，一台机器一个密码，泄露一个不至于连累其余。 配套的两件事同样关键。一是 SSH 改用密钥登录并关闭密码认证，从根上绕开字典攻击，这比任何复杂密码都彻底；二是开启登录失败告警，日志里连续出现 Failed password 就通知到人，别等攻进来才发现有人在天天试。 改完密码不等于一劳永逸。建议每季度把清单重跑一遍：新上线的服务、临时开的账号、外包同事用过的密码，最容易成为漏网之鱼。密码这件事没有捷径，清单多跑一次，风险就少一分。