《密码策略常见漏洞与修复》
第2章 弱密码漏洞
2、弱密码漏洞：常见弱密码类型与暴力破解风险
弱密码是网络安全中最常见、最容易被利用的漏洞之一。许多用户为了方便记忆，往往使用简单、常见或具有明显规律的字符串作为密码，这为攻击者提供了可乘之机。本节将深入剖析常见弱密码类型，并揭示暴力破解攻击的原理与风险。
常见弱密码类型
根据历年数据泄露报告和安全研究统计，以下是最常见的弱密码类型，它们构成了攻击者字典攻击的首选目标：
| 弱密码类型 | 典型示例 | 风险等级 | 出现频率 |
|---|---|---|---|
| 连续数字/字母 | 123456、abcdef |
极高 | 约 25% |
| 常见单词 | password、admin、welcome |
极高 | 约 18% |
| 键盘顺序 | qwerty、asdfgh、zxcvbn |
高 | 约 12% |
| 个人信息 | zhangsan1985、iloveyou |
中高 | 约 15% |
| 重复字符 | 111111、aaaaaa、!!!!!! |
高 | 约 8% |
| 默认密码 | admin/admin、root/root |
极高 | 约 10% |
暴力破解风险分析
暴力破解（Brute Force Attack）是攻击者通过系统性地尝试所有可能的密码组合，直到找到正确密码的攻击方式。结合弱密码，其风险呈指数级上升：
- 字典攻击：攻击者使用包含常见弱密码的字典文件（通常包含数百万条记录），快速尝试登录。
- 穷举攻击：针对短密码（如6位纯数字），尝试所有组合（10^6 = 1,000,000种可能）。
- 混合攻击：结合字典与规则（如添加年份、特殊字符后缀），扩大攻击范围。
- 撞库攻击：利用已泄露的账号密码库，尝试登录其他平台（用户常重复使用密码）。
修复与防护建议
- 实施密码复杂度策略：要求密码长度至少12位，包含大写字母、小写字母、数字和特殊字符。
- 禁止常见弱密码：建立黑名单机制，阻止用户使用Top 10000弱密码。
- 启用多因素认证（MFA）：即使密码泄露，也能有效阻止未授权访问。
- 限制登录尝试次数：连续失败5次后锁定账户或增加延迟时间。
- 使用密码管理器：生成并存储高强度随机密码，避免重复使用。
- 定期安全审计：检查并强制重置长期未变更或疑似泄露的密码。
密码强度检测示例（Python）：
import re
def check_password_strength(password):
score = 0
if len(password) >= 12:
score += 1
if re.search(r'[A-Z]', password):
score += 1
if re.search(r'[a-z]', password):
score += 1
if re.search(r'[0-9]', password):
score += 1
if re.search(r'[!@#$%^&*(),.?":{}|<>]', password):
score += 1
if score <= 2:
return "弱密码 - 极易被破解"
elif score == 3:
return "中等密码 - 建议增强"
else:
return "强密码 - 安全可靠"总结：弱密码是网络安全的第一道防线缺口。通过实施严格的密码策略、启用多因素认证和定期安全审计，可以有效降低暴力破解攻击的成功率。记住：密码的强度决定了账户的安全底线。