禁用弱密码和字典词需策略拦截、配置加固与验证闭环：一、microsoft entra id自动拦截百万级弱口令及变形，支持自定义禁用词；二、linux ssh层禁用root登录、强制密钥认证、限制用户/ip、禁用空密码；三、mysql、redis等中间件须设强密码并绑定内网；四、结合云平台基线检查与本地命令（如awk查/etc/shadow）持续检测。
禁用弱密码和字典词，核心是“不让系统接受常见、可预测、易被爆破的口令”，不是单纯改一个密码就完事。关键在策略层拦截+配置层加固+验证层闭环。
一、用密码保护策略自动拦截弱口令
Microsoft Entra ID（原Azure AD）提供开箱即用的全局禁止密码列表，已内置数百万高频弱口令及变体（如 admin、123456、password123、Admin@2024、adm1n 等），无需手动启用，用户改密或重置时实时校验。它采用智能模糊匹配，能识别大小写替换、数字替代（a→@、o→0）、常见后缀追加等变形。
你还可以叠加自定义禁止词表，比如加入：公司名、产品名、行业术语、员工常用姓名拼音（如 zhangwei、wangfang）、内部项目代号。这些词一旦出现在新密码中（无论位置或大小写），即被拒绝。
注意：该功能只作用于密码变更/重置环节，不追溯历史密码；它不能替代多因素认证（MFA），建议与 MFA 同步启用。
二、Linux 服务器 SSH 层禁用字典式登录
SSH 是最常被暴力扫描的入口。仅靠“设个复杂密码”远远不够——必须从协议层切断字典攻击路径：
- 禁用 root 直接登录：编辑 /etc/ssh/sshd_config，设 PermitRootLogin no，重启 sshd。即使 root 密码再弱，黑客也拿不到初始 shell。
- 关闭密码认证，强制密钥登录：设 PasswordAuthentication no + PubkeyAuthentication yes。所有合法用户必须预置公钥，彻底规避密码喷洒。
- 限制可登录用户与来源 IP：用 AllowUsers ops@192.168.10.* deploy@203.12.5.0/24 明确白名单，多余账号（包括测试号、离职号）一律从系统删除或禁用（usermod -L username）。
- 禁用空密码：确认 PermitEmptyPasswords no 已生效，防止遗留空口令账号被秒登。
三、数据库与中间件口令强化实操
很多弱口令风险不在操作系统，而在 MySQL、Redis、SQL Server、Tomcat 这类服务自身账户：
-
MySQL：避免使用默认 root@localhost + 空密码或简单密码。登录后执行：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'Xk9#mQ2$vT!p';
并及时 FLUSH PRIVILEGES; - Redis：打开 redis.conf，取消注释并修改 requirepass 行，值必须满足 8 位以上、含大小写字母+数字+符号；禁用 bind 0.0.0.0，改为绑定内网 IP 或启用 protected-mode。
- SQL Server：安装时务必选择混合模式并为 sa 设置强密码；若已用 Windows 身份验证，后续启用 sa 前必须先设密、再启用（ALTER LOGIN sa ENABLE; ALTER LOGIN sa WITH PASSWORD = '...';）。切勿留空或用 company123 这类口令。
-
Tomcat：修改 conf/tomcat-users.xml 中
的 password 属性，禁用默认 admin/admin 组合。
四、检测与持续治理不能只靠人工
人工排查效率低、易遗漏。推荐组合使用以下方式主动发现弱口令：
- 云平台自带基线检查：阿里云云安全中心、华为云 HSS、腾讯云主机安全均提供“经典弱口令检测”，支持扫描 Linux 用户、MySQL、Redis、Windows 本地账户等。
- 本地快速自查命令：
— 查 Linux 用户密码状态：sudo awk -F: '($2 != "*" && $2 != "!") {print $1}' /etc/shadow
— 查 MySQL 弱口令用户：SELECT user, host FROM mysql.user WHERE authentication_string = '' OR authentication_string LIKE '%*0%'; - 定期跑一次轻量字典比对（仅限内网环境）：用开源工具如 hydra -l admin -P weak_pass.txt ssh://192.168.1.100 模拟攻击，验证防护是否生效——但务必控制范围、避开生产时段、提前报备。
