默认凭据
一种常见弱点
默认凭据 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是默认凭据
默认凭据是设备或服务出厂时自带的用户名和密码。
常见示例包括 admin/admin，或用户名为 root 且完全不设置密码。
默认凭据为何存在
制造商会设置默认登录凭据，以便设备开箱即可使用。
原本的意图是让设备所有者在设置过程中更改凭据，但实际情况往往是没有人这样做。
默认凭据为何危险
对于同一型号的设备，默认凭据通常每台设备都相同。
任何知道默认凭据的人，都可以登录全球数千台未更改凭据的设备。
公开的默认凭据列表
默认登录凭据并不是什么秘密。它们会出现在说明书和公开网站上。
攻击者会维护大型列表，然后针对目标逐一尝试已知的凭据组合，例如 admin : password。
自动扫描
攻击者不会手动逐台检查设备。他们会运行工具扫描互联网，并在找到设备后自动尝试默认凭据。
Mirai 带来的教训
著名的Mirai僵尸网络通过在 IoT 设备上尝试一小组默认登录凭据进行传播。
它感染了数十万台设备，并发动了破纪录的攻击，而这一切都源于密码一直未被更改。
隐藏的默认账户
有些设备包含用户从未见过的额外账户，这些账户是为支持或调试而创建的。
如果这些账户仍使用默认密码，就会成为进入设备的隐蔽后门。
更改密码
最简单的防御措施是在设置过程中立即更改每个默认密码。
请为每台设备使用强度高且唯一的密码，而不要使用出厂密码。
强制更改
更好的设备会在首次使用时强制用户设置新密码。
这样可以消除用户忘记更改密码的风险，因为默认密码根本无法继续保留。
每台设备使用唯一机密信息
最强的做法是在出厂时为每台设备提供一个印在标签上的唯一随机密码。
这样攻击者就没有可猜测的共享默认密码。
审核现有设备
组织应定期审计其设备是否存在默认凭据。
在攻击者发现之前找出并修复这些问题，可以堵住进入网络的最容易利用的入口之一。
快速检查
为什么出厂默认凭据会带来如此严重的风险？
回顾
默认凭据是出厂登录凭据，通常在设备间共用、公开可查且一直未被更改，Mirai僵尸网络就说明了这一点。
防御措施包括更改默认凭据、在首次使用时强制更改、为每台设备使用唯一机密信息，并定期进行审计。
常见问题解答
「默认凭据」课时是免费的吗？
是的 — 「默认凭据」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「默认凭据」这节课中我会学到什么？
一种常见弱点 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「默认凭据」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。