为什么默认口令危害特别大
漏洞利用需要匹配版本、构造报文、穿过层层过滤，而默认口令只需要一次成功登录。厂商默认口令普遍公开可查，很多设备又允许对同一账号反复尝试而不会锁定，因此一旦设备对某条路径可达，默认口令几乎等同于开放权限。更麻烦的是覆盖面：除了控制器与网络设备，摄像头、门禁、UPS 管理卡、打印服务器、无线接入点、传感器网关都可能带着默认口令上网运行，它们往往不在原有清点范围内。排查与整改要覆盖「所有能登录的东西」，而不只是控制器与交换机。
基本信息
| 高风险对象 | 控制器与触摸屏、协议网关、网络设备、无线设备、摄像头与门禁、UPS 与管理卡、打印服务器 |
|---|---|
| 排查方法 | 清点设备清单、对照厂商文档确认默认账号情况、通过只读方式核验登录配置 |
| 整改要求 | 修改为设备支持范围内的强口令，纳入集中保管并登记变更 |
| 无法修改时 | 用网络层限制访问来源、前置集中入口、纳入风险例外清单 |
| 验证方式 | 抽样实际登录验证，确认默认口令已失效且新口令可用 |
| 复查节奏 | 结合季度核对，重点看新入网设备与重置过的设备 |
排查与整改步骤
- 建立设备清单：把可登录设备逐台列出，包含不在常规台账内的辅助设备
- 确认默认状态：查厂商文档确定该型号出厂账号情况，形成待处理清单
- 优先处理可达设备：先改能从办公网或远程路径访问到的设备
- 按类型整改：控制器、网络设备、辅助设备分别安排，避免遗漏低关注设备
- 集中保管口令：整改后的口令统一存放，明确可见范围与读取记录
- 例外登记：不能修改的逐台登记，写明补偿控制与责任人
- 复查验证：抽样登录验证整改效果，并把新入网设备纳入同一流程
设备类型与整改动作
| 设备类型 | 默认口令风险 | 整改动作 |
|---|---|---|
| 控制器与触摸屏 | 登录后可直接修改逻辑与参数 | 修改口令并限制管理来源，纳入账号台账 |
| 协议网关与转换设备 | 作为跨区通路，被控后影响面大 | 修改口令，收敛管理入口，禁止公网可达 |
| 网络与无线设备 | 可改写网络结构，为后续攻击铺路 | 修改口令，关闭远程管理或限制来源 |
| 摄像头与门禁 | 常被忽略，成为进入内网的跳板 | 纳入设备清单，修改口令并隔离网段 |
| UPS 与管理卡 | 管理卡常直接暴露且功能强大 | 修改口令，限制管理网段可达 |
| 打印与共享设备 | 外设自带存储与网络功能 | 修改口令，评估是否必须联网 |
排查默认口令时不要对生产设备做口令猜测或暴力尝试：部分设备在多次失败后会锁定账号或进入保护状态，直接影响生产操作。核验应以厂商文档与设备配置读取为主，必要时在测试设备上验证。