弱口令怎么自查？3个入口先摸清

密码这东西，最容易出事的地方不是忘了，而是压根不知道还有几个地方留着老口令。弱口令就是这一类，它不在你的待办清单里，但只要有一个入口松着，前面那些加固基本等于白做。所以别急着装扫描器、也别上来就翻一堆教程，弱口令怎么自查这件事，先把入口数清楚，比什么都强。

弱口令怎么自查？三个入口先摸清

我把它们归成三类：网站后台的管理账号、数据库账号、还有对外开着的远程管理服务（SSH、RDP、面板、FTP 都算）。为什么偏偏是这三个，因为它们的特点一模一样——默认就存在、默认就带密码、而且往往没人管。至于 API key、对象存储密钥那些，属于第二梯队，先放一放，别一开始就摊得太宽。

入口一：网站后台，别只盯着 admin

多数人改密码的操作是这样的：登录后台，把 admin 的密码换了，收工。问题是后台里通常不止一个账号。装程序时留的测试号、外包做模板时开的临时号、插件自己建的账号、编辑和运营的号，全在里面躺着。自查的方式很土也很有效：后台用户列表拉出来，逐个看最后登录时间，几年没登又还活着的，先停掉再说话。顺手确认一下安装时提示过的默认口令到底改没改，这个自己心里最清楚。

要是后台已经打不开、或者怀疑被人动过手脚，那就绕过去直接看数据库里的用户表，字段一般叫 user_name、password 之类，表名各家不一样，以程序官方文档或服务商说明为准，别硬照着别人的教程抄。

入口二：数据库，root 和空密码是重灾区

MySQL 这类关系库，弱口令的比例高得离谱。原因特别简单：装的时候一路回车，root 密码设成空、设成 root、设成项目名或者域名，装完就再没人碰过它。更麻烦的是 3306 直接开在公网，谁都能连上来试两下。

先列账号：SELECT user,host FROM mysql.user; 重点看 host 是不是 %，是的话意思就是任何地址都能连。再确认 bind-address 有没有老老实实绑在 127.0.0.1 上。密码强度这一栏是看不到的，那就拿客户端挂常见字典挨个试一遍自己的库，跑出来能登进去的，就是弱口令，没什么好争的。

入口三：远程管理服务，门开着还挂旧锁

SSH 的 22、Windows 的 3389、面板的 8888 和 888、FTP 的 21，这些东西的共同点是——只要开着，就一直有人来敲门，而且敲门声从来不间断。查监听用 ss -tlnp，老一点的机器用 netstat -tlnp，把对公网开放的端口全列出来，一个个对着问：这个端口谁在听，账号是哪个，密码多久没换过。

RDP 尤其要当心，默认账号就是 Administrator，密码是装系统那会儿随手敲的一串。SSH 这边，root 用密码直连是最省事也最危险的组合，能换密钥就换，换不了至少把密码改成完全不像密码的样子——短、顺、有规律，这三样占一个就算输。

什么才算弱？不是只有 123456

判断口径就几条：长度太短、是字典里的常见词、键盘上顺手划出来的（qwerty、1qaz2wsx 这类）、带着明显的个人信息（公司名、域名、年份加月份）、出厂默认值、纯数字。占一条就够呛。短纯数字密码放在现在的算力水平下，跟没设区别不大。想验证自己的密码到底弱不弱，本地挂个小字典用 john 或者 hydra 跑一遍，跑通了自己就有数了，不过只跑自己的账号，手别欠。

日志里早就写了有人试过

翻日志这一步很多人跳过去，线索偏偏全在里面。Linux 上看失败登录用 lastb，SSH 的详细记录在 /var/log/secure（CentOS 系）或者 /var/log/auth.log（Debian、Ubuntu 系）。里头成片的 Failed password，就是有人在批量试。Web 日志里如果反复出现打到 /wp-login.php、/admin.php、/phpmyadmin/ 的 404，说明扫描器已经摸到你门口了，只是还没进得来。

动手改的时候分个级，别一刀切

顺序建议按暴露程度排：先改公网能直接连到的（面板、SSH、数据库），再改后台，最后才轮到内部账号。改之前一定给自己留条退路，尤其是 SSH，配置改错、服务一重启，人就锁在门外了，那场面相当尴尬。稳妥做法是先开一个会话别关，改完用 sshd -t 校验配置语法，没问题再重载。

还有一条经常被忽略：旧密码得在所有地方清干净，备份脚本里、监控配置里、定时任务里、同事的聊天记录里。不然过两周某个脚本连不上库了，又开始怀疑人生，查半天才发现是自己埋的雷。

顺带提醒一句，改密码别图省事用一套通用的，几个入口共用一个密码，等于把三个门用同一把钥匙锁上，丢一把全丢。

最后给个能落地的顺序：今天先跑一遍 ss -tlnp，把对外的端口记下来；明天挨个登进去看账号和最后登录时间；后天按暴露程度排优先级，一批一批换密码。三天能干完的事，拖成半年就是另一回事了。新密码记在正经地方，别塞记事本，也别扔在群公告里——这一步做不好，前面全白干。