一、什么是弱口令
弱口令（弱密码）：指很容易被猜到、被暴力破解工具跑出来的密码，特点是简单、短、有规律、和个人信息强相关。
常见几类弱口令：

纯简单数字：123456、000000、111111、123123
简单顺序字母：abc123、aaaaaa、qwerty
生日、手机号、身份证片段：19900101、13800138000后 6 位
固定常用词：password、admin、root、12345678
和账号同名：账号是 admin，密码也填 admin
长度太短：少于 6 位，或者只纯数字 / 纯字母，没有组合
通用复用：同一个简单密码，微信、服务器、后台、网站全都用这一个


反过来，强口令一般：≥8 位，大小写字母 + 数字 + 特殊符号，无规律，不和个人信息挂钩，不同平台不重复。

二、弱口令到底有多严重（危害）
黑客扫弱口令基本是全自动工具批量跑，不用人工猜，一秒试几千上万个密码，很多服务器、后台、管理系统几秒钟就被拿下。

账号被盗 社交、邮箱、电商账号被盗：盗号发诈骗信息、盗优惠券、盗绑定的支付信息、冒充你骗亲友转账。
服务器 / 网站被入侵 很多宝塔后台、服务器 SSH、数据库 MySQL、IDC 管理面板如果是弱口令：


服务器直接被拿下，上传木马、挖矿程序（占用 CPU，电费、机器报废）
篡改网站页面、挂黑页、植入赌博 / 色情广告
窃取数据库：客户手机号、实名信息、订单数据，造成信息泄露，面临合规处罚、赔偿
当成肉鸡，用来攻击别的网站，最后溯源找到你，承担责任


撞库攻击（非常普遍） 很多平台数据泄露之后，黑客拿到账号密码库，拿着这套密码去别的网站挨个试。


你 A 网站弱口令泄露 → 黑客用同样账号密码，登录你的云服务商、支付后台、管理面板。


勒索加密 入侵之后把服务器里文件全盘加密，索要比特币赎金，不付钱数据全部销毁。做副业服务器业务的，客户数据丢了就是重大事故。
内网渗透、横向扩散 如果一台机器弱口令被攻破，黑客拿到权限后，继续用这个密码扫同局域网其他电脑、服务器，一锅端整个环境。
法律风险 如果你运营的系统因为弱口令导致大量公民信息泄露，会触犯《网络安全法》《个人信息保护法》，面临罚款，严重还会刑事责任。等保测评里，弱口令属于高危漏洞，直接不通过。

三、容易踩的误区

❌ “我的网站没人知道，密码简单没事”：互联网上 7×24 小时有扫描器在全网扫端口、扫弱口令，不是专门针对你，是批量盲扫。
❌ “密码是 12345678，8 位就安全”：纯数字 8 位依然属于弱口令，暴力破解很快跑完。
❌ “我加个！就是强密码了”：123456! 依然很弱，规律太强。

四、简单安全建议

所有后台、SSH、数据库、面板禁止弱口令，关闭密码登录，优先密钥登录；
不同系统、不同站点密码不重复；
管理员账号不要用 admin、root 这种默认用户名；
开启登录失败锁定：连续输错几次 IP 自动封禁；
定期弱口令扫描；
重要账号开启二次验证（2FA）。