弱口令到底有多危险
前几天邻居老李家的监控被人远程看了好几天，他自己还蒙在鼓里。一查日志，登录IP来自境外，账号是admin，密码是123456。这种事不是个例，很多人图省事，路由器、摄像头、NAS设备全用简单密码，等于把家门钥匙挂在门口。
弱口令就是系统安全的第一道裂缝。黑客用自动化脚本批量扫常见用户名密码组合，几秒就能撞开一个设备。一旦进去了，轻则偷看数据，重则植入木马、拉入僵尸网络。
哪些地方最容易出问题
家用路由器默认的admin/admin没改；摄像头后台用guest/guest登录；公司测试服务器留着test/123456应付验收。这些都不是传说，是我上周帮两个客户排查时真实遇到的。
还有人喜欢在所有平台用同一组密码。淘宝用过123456，那京东、微信、云存储可能也一样。一个泄露，全线崩盘。
怎么改才算安全
密码不是越长越好记就行。真正靠谱的密码得满足几个条件：大小写字母、数字、符号混合，长度至少8位以上，别包含用户名、生日、连续字符（比如abcd或1234）。
举个例子，把“我家猫叫小花今年3岁”换成“WjMjxh&j3s”——拼音首字母加特殊符号和数字，既难猜又好记。
更省心的办法是上密码管理器。Bitwarden、1Password这类工具能自动生成随机密码，浏览器自动填，不用自己背。
批量修复弱口令的实操步骤
先列清单：把所有正在用的设备和平台理一遍，重点看路由器、NAS、监控系统、云服务控制台。
登录进去挨个改密码。以华为路由器为例，进管理页面 192.168.3.1，找到"系统工具" → "修改密码"，输两次新密码保存就行。
Linux服务器批量处理可以用chpasswd命令：
echo "username:new_password_2024!" | chpasswd如果是多台设备，写个简单脚本循环执行，避免漏改。
开启二次验证，再多一层保险
改完密码还不够。重要账户像微信、支付宝、阿里云，一定打开短信验证码或身份验证器。就算密码被撞库，对方没有手机动态码也登不进去。
我朋友的公众号去年被盗，就是因为只靠密码。后来绑了Google Authenticator，再没出过事。
定期检查不能少
建议每三个月换一次关键系统的密码。可以设个日历提醒，比如每季度第一个周日晚上统一过一遍。
企业环境更该上堡垒机或权限管理系统，普通员工没法直接接触高危操作界面，从源头减少风险。