Web弱口令漏洞：攻击者的“金钥匙”与防御全解析
一、什么是弱口令漏洞？
弱口令（Weak Password）没有严格统一的定义，通常指那些容易被他人猜测到或被破解工具轻易攻破的口令。这不仅仅是“123456”这样的简单数字组合，还包括系统默认口令、与个人信息强相关的密码，以及在多个平台重复使用的同一套凭证。
从漏洞分类角度看，弱口令属于身份认证缺陷，是OWASP Top 10中“失效的访问控制”和“识别与认证失败”类漏洞的核心成因之一。
典型案例：12306“撞库”事件
2015年春运前夕，大量12306用户数据在网络传播售卖。事后分析显示，黑客并非直接攻击12306系统，而是通过“撞库”手段——将其他网站泄露的用户名密码组合，批量尝试登录12306。安全爱好者对泄露密码的统计结果触目惊心：大量用户使用着极其简单的数字组合。
二、弱口令攻击的常见手段与工具
1. 社工字典生成——攻击的“弹药库”
攻击者不会盲目猜测密码，而是先进行信息收集，再定制化生成字典。收集渠道包括：
公开信息查询：全国社会组织查询系统、天眼查、ICP备案系统等，可获取公司名称、法人信息
个人信息：生日、身份证号、手机号、姓名拼音、车牌号等
键盘规律：
qwerty、1qaz2wsx、!@#$%^等键盘序列
字典生成示例：
text
基础信息: admin, huawei, 2024 符号组合: @, _, !, # 弱字符: 123, 001, abc 生成结果: admin@huawei, admin_123, huawei!2024...
使用工具如白鹿社工字典生成器，可将信息项、符号项、弱字符串项自由组合，快速生成针对性字典。更高级的工具如godscan，还能自动识别身份证、手机号，并根据农历生日等规则生成变异口令。
2. 爆破工具——攻击的“发射器”
| 工具名称 | 适用场景 | 特点 |
|---|---|---|
| Burp Suite Intruder | Web表单爆破 | 功能全面，支持多种爆破模式 |
| 超级弱口令检查工具 | 多服务批量检测 | Windows平台，支持SSH/FTP/MySQL/Redis等20+种服务 |
| WebCrack | Web登录口通用检测 | 自动识别表单参数，支持动态字典 |
| 等保核查工具 | 企业安全自查 | 支持40+种服务的弱口令/未授权检测 |
爆破流程示意：
text
抓包 → 导入Intruder → 设置变量位置 → 加载字典 → 分析响应差异 → 发现有效凭证
攻击者通常通过响应包长度、状态码、跳转行为或页面关键词来判定爆破是否成功。
三、弱口令的核心成因
技术层面
缺少密码复杂度校验：系统未限制密码长度和字符类型
允许使用默认口令：安装后不强制修改默认密码
无防爆破机制：未限制登录尝试次数、无验证码、无IP封禁
人为因素（最主要）
便利性优先：简单密码便于记忆
安全意识薄弱：认为“我的账号不重要”
密码复用：一个密码通行所有平台
社会工程学可预测性：生日、姓名等个人信息易被获取
典型案例：CRMeB JWT硬编码漏洞
CRMeB v5.6.1版本中，JWT HMAC密钥被硬编码为default。攻击者可利用这一公开密钥伪造任意用户的Token（包括管理员），实现认证绕过和权限提升。官方演示站点v5.crmeb.net和新部署的实例均受影响。
这一案例说明：弱口令不仅限于“密码”，还包括所有形式的弱凭证——包括密钥、Token Secret等。
四、弱口令漏洞的危害
| 危害类型 | 具体表现 |
|---|---|
| 信息泄露 | 攻击者获取个人隐私、财务数据、商业机密 |
| 权限提升 | 从普通账号提权至管理员，控制整个系统 |
| 横向扩散 | 利用泄露的凭证尝试登录其他系统（撞库攻击） |
| 系统破坏 | 删除数据、植入恶意软件、篡改配置 |
| 企业损失 | 数据泄露导致的合规处罚、品牌受损、客户流失 |
五、防御体系设计
1. 密码策略（第一道防线）
根据OWASP测试指南和华为云安全规范，强密码策略应包含：
text
【长度】≥ 12位 【复杂度】大写字母 + 小写字母 + 数字 + 特殊字符（每类至少1个） 【禁止项】连续字符(AAAA)、重复组合(123123)、键盘序列(qwerty) 【个人信息】不得包含用户名、姓名拼音、生日、手机号 【历史记录】禁止重复使用最近5-8次密码
NIST特别提示：不再强制要求定期更换密码（如90天强制改密），因为这会诱导用户采用更弱的密码或简单的递增策略。只有在存在泄露迹象时才应强制改密。
2. 防暴力破解机制
java
// 伪代码示例：登录防护逻辑 if (failedAttempts.get(ip) > 5) { // 触发验证码 requireCaptcha(); } if (failedAttempts.get(ip) > 15) { // 临时封禁IP（如30分钟） blockIp(ip, Duration.ofMinutes(30)); } if (failedAttempts.get(username) > 5) { // 锁定账号，需额外验证 lockAccount(username); }推荐措施：
限制同一IP/账号的失败尝试次数（5次以内）
超出阈值后启用验证码或二次验证
连续失败后增加递增延迟（如1秒、2秒、4秒...）
记录所有登录失败日志，设置异常告警
3. 多因素认证（MFA）
单靠密码已不足以抵御现代威胁。应在以下场景强制启用MFA：
管理员账号
涉及资金操作
敏感数据访问
非常用设备/位置登录
4. 默认口令管理
text
【禁止】系统安装/部署后保留任何默认密码 【强制】首次登录必须修改默认密码 【要求】默认密码应为随机生成的一次性凭证 【检查】定期扫描系统中是否存在已知默认口令
5. 主动检测与监控
企业侧：
部署HSS类主机安全产品，定期执行弱口令基线检查
使用漏洞扫描工具检测Web应用弱口令
对员工进行钓鱼演练和安全意识培训
开发侧：
在CI/CD流程中加入弱口令检测门禁
代码审查检查是否存在硬编码凭证
使用依赖扫描工具检测第三方组件中的默认口令
6. Web应用隔离（进阶方案）
对于高安全要求的场景，可部署Web应用隔离系统。该系统基于安全沙箱技术，只接收GET请求，并对URL进行加密。它能自动识别页面中的密码输入框，检测并阻止弱口令的使用，无需改造业务系统代码。
六、企业安全加固清单
text
□ 1. 密码策略 □ 长度≥12位，包含大小写字母、数字、特殊字符 □ 禁止包含用户名、生日、连续/重复字符 □ 禁止使用前5次密码 □ 移除所有默认/示例账号 □ 2. 登录防护 □ 失败次数限制（≤5次触发验证码） □ 账号临时锁定机制 □ 启用MFA（至少对管理员） □ 3. 监控响应 □ 登录失败日志记录与告警 □ 异常IP自动封禁 □ 定期弱口令扫描（如每日凌晨）[citation:7] □ 4. 开发规范 □ 禁止硬编码凭证 □ JWT密钥使用强随机值[citation:4] □ 代码审查覆盖凭证管理 □ 5. 人员培训 □ 年度安全意识培训 □ 弱口令危害案例宣导 □ 使用密码管理器推广
总结
弱口令漏洞的本质是人的便利性需求与安全要求之间的冲突，而攻击者正是利用了这一点。防御弱口令不能仅靠技术手段，而是需要技术控制、流程规范、人员意识三位一体的综合策略。
正如OWASP所指出的，最根本的解决方案是引入多因素认证——即使密码被破解，第二道验证因素仍能保护账户安全。在MFA无法覆盖的场景下，强密码策略结合防爆破机制是最后的防线。