新手定位弱口令应先精准识别真实开放的高危服务与账户：用nmap筛出--open端口并验banner，按服务选专用工具（如SNETCracker、John、redis-cli），聚焦默认账号和低UID可登录用户，配合Top20字典快速验证并人工复核。
新手快速定位弱口令开放服务，关键不是“扫得全”，而是“扫得准”——先搞清哪些服务真开着、哪些账户最危险、哪些口令一试就开。
先摸清真实开放的服务和端口
弱口令只存在于实际运行的服务上。没开的服务，扫一百遍也没用。
- 用 nmap 快速筛出高危端口：比如
nmap -sS -p 21,22,23,3389,6379,3306 --open -T4 192.168.10.0/24，只扫FTP、SSH、Telnet、RDP、Redis、MySQL这些常被设弱口令的服务，加--open跳过关闭端口，省时又干净 - 看返回的 banner：如果 nmap 显示
SSH-2.0-OpenSSH_7.4或redis_version:6.2.6，说明服务在跑，且版本可查，能判断是否默认配置（如老版 Redis 默认无密码） - 内网扫描可加
-Pn跳过主机发现，避免因 ICMP 被禁而漏掉存活机器
按服务类型选对工具，别混着用
不同服务认证逻辑差很多，用错工具容易漏报或触发锁定。
- RDP / SMB / FTP：推荐 SNETCracker（Windows 平台），图形界面，自带空口令探测选项，勾选“空密码”就能直接识别 administrator、guest 等账户是否未设密
-
SSH：优先不在线爆破。如果有 root 权限，导出
/etc/shadow，用 John the Ripper 离线破解：john --wordlist=rockyou.txt --format=sha512crypt shadow.txt，结果里标NO PASSWORD的就是空口令 -
Redis：不用字典，直接命令验证：
redis-cli -h 192.168.10.5 -p 6379 ping，返回PONG就是空口令，秒级确认
聚焦高危账户，跳过无效目标
不是所有账号都值得扫。攻击者第一眼盯的就是这些：
- 系统默认账号：root、admin、administrator、mysql、redis、oracle、daemon —— 这些是弱口令和空口令重灾区
- 能登录但非系统用途的低UID用户：检查
/etc/passwd中 shell 不是/sbin/nologin且 UID test:x:501:501::/home/test:/bin/bash - 跳过明显无风险的：如
www-data、nobody这类默认无登录权限的账户，不浪费时间
轻量字典+人工复核，避免假阳性
新手最容易犯的错是拿百万级字典一顿狂扫，结果扫出一堆 timeout 和 locked，反而错过真实问题。
- 首次扫描用精简字典：Top 20 默认凭据（
admin:admin、root:123456、sa:sa、redis:空密码）就够了，10秒一台，效率高 - 看到工具报“成功”别直接信：比如
192.168.10.12:3389 → Administrator:Password123，必须手动 RDP 登录验证是否为真实生产账号 - 大量
connection refused？不是口令弱，是端口根本没开——回头再用 nmap 确认一次服务状态
