弱口令自查，5个地方一查一个准

弱口令自查这件事，很多人拖着不做，理由都挺合理：后台密码改过、装了个安全插件、网站看起来也没出事。麻烦就在于，你觉得那是随手起的几个字符，扫号的人眼里它就是一行能直接匹配上的东西。真要查，不必把整台机器翻个底朝天，五个地方走一遍，大部分洞自己就露出来了。

弱口令自查的第一个地方，就是网站后台

登录页是整个网站上被敲门次数最多的一扇门，那些自动化的脚本一天里能来好几趟，它们手里揣着常见密码表，从 admin、test、root 一路试到 123456。所以先别急着改密码，先看记录：访问日志里搜一下打到登录接口的 POST 请求，同一个 IP 连着刷的次数多不多，心里大概就有数了。顺手还要看几样容易被忘的——后台路径是不是还老老实实叫 /admin，装完没删的 install 目录还在不在，以及那几个给开发或外包临时开的账号有没有注销。改密码的时候把这几样一起收拾，比单纯换个字符划算。

第二个地方：数据库账号，最容易漏的一层

数据库往往是最后被想起来的地方。建站那会儿填的库账号，密码大概是安装页面上随手敲的，装完就再没回头看。要查的就两件事：库账号有没有被授权给任意来源的地址，3306 端口是不是直接对着公网开着。真想确认，进库跑一句 SHOW GRANTS FOR 那个账号，后面跟着的 % 就是任意来源，该收回来就收回来。phpMyAdmin 这类工具挂在默认路径，再配个弱密码，基本等于把库的钥匙插在门上。给应用单独建一个只能碰自己那几张表的账号，比所有人共用一个高权限账号强得多。还有配置文件，wp-config.php、config.php 这类东西里密码是明文的，权限别给得太宽，顺手看一眼有没有被别的目录读到。端口和权限的细节各家面板不一样，拿不准就按服务商文档来。

第三个地方：远程登录和控制面板

SSH、FTP、面板后台，这三样经常被当成技术人员的自留地，反而没人去查。root 用密码直接登录、sshd_config 里 PermitRootLogin 还是 yes、密码认证也没关，这就是敞着的。去 /var/log/auth.log 或者 /var/log/secure 里搜 Failed password，如果刷得密密麻麻，说明有人已经盯上你了，虽然没进去，但迟早撞上。FTP 更老派，不少人还在用明文传文件，密码在公网上走一趟就等于交出去了，能关就关，换成 SFTP。面板的话，端口别用默认那个，面板自带的登录保护、二次验证、失败次数限制能开就开。这些都不算什么高深操作，就是得有人真的去点一遍。

第四个地方：云控制台和域名注册商账号

这一块被攻破，损失和网站被挂马完全不是一个量级。云账号能开机器、能删数据、能翻对象存储里的所有东西；域名注册商账号能改 NS，把整个域名连根牵走，网站做得再好也白搭。查起来倒不复杂：主账号密码是什么强度、二次验证开没开、子账号是不是给了一大片权限、AccessKey 有几个、最近一次调用是什么时候。那些密钥一旦被提交到公开的代码仓库，删掉文件都不算完，得去控制台直接吊销。域名这边，登录邮箱别用弱密码，域名锁定打开，域名隐私看情况开。具体开关在哪个菜单，各家控制台不一样，以服务商或官方页面说明为准，别照着一篇老教程硬找。

第五个地方：遗留账号和第三方接入

这条最费时间，也最容易挖出东西。后台用户列表按注册时间倒着翻，名字一看就是测试用的、demo 的、某某老师的，一律清掉；离职同事和外包留下的账号更要清，这些东西往往权限还很大。再往外看，客服系统、企业邮箱、插件授权、主题里硬编码的 API key、对接过的短信和支付接口，每一个都是一个入口，平时没人管，出事就是大事。邮箱尤其要留意，很多后台的重置密码邮件都往那儿发，邮箱弱密码等于后台密码也弱。

查完别急着收工，密码之外还有几件事

改完密码只是把门关上，人不一定已经走了。立刻做两件事：看一眼网站目录里有没有多出来的陌生文件，尤其是根目录下躺着的 .zip、.sql 备份文件，还有 .git 目录，这些跟密码没关系，但一样致命；再看一遍登录日志，确认改完之后还在被刷的，说明对面手里有别的路子。然后是长期的事：失败登录有没有次数限制、日志能留多久、有没有一条告警能在半夜把你叫醒、备份能不能真的恢复出来。这四样比再改一次密码重要得多。

五个地方一个下午基本能过完，不用一次做到完美，先做掉最明显的那些：后台的默认账号、库的任意来源授权、root 的密码登录、云账号的二次验证、还有那一堆没人管的遗留账号。隔一段时间再照着这个顺序过一遍，比临时抱佛脚踏实。密码这东西不会因为你改过一次就永远安全，它只是需要有人记得回来看看。