| | |
|---|
| | | |
|---|
| | | | 项 | 现状 | 结论 | |
|---|
| | | |---|---|---| |
|---|
| | | | 后台 `admin` 账号 | 已重置；用 `/root/check-weak-passwords.py` 拿 69 个常见弱口令撞 PBKDF2 哈希，**0 命中** | ✓ | |
|---|
| | | | 后台 `admin` 账号 | **2026-09-29 用 `/root/reset-admin-password.py` 重置**为 20 位、四类字符齐全的强口令；明文只写 `/root/admin-password.txt`（`600`），脚本输出里只有类别摘要、哈希自检与「真调一次登录接口」的成败（不打印口令与 token）。重置时一并清零失败计数/锁定、并吊销所有在用会话（那次告警报文里带出过 accessToken）。自查用 `/root/check-weak-passwords.py` | ✓ | |
|---|
| | | | MySQL `root` / `debian-sys-maint` | `auth_socket`，**不启用密码认证**（只能以本机 root 身份连） | ✓ | |
|---|
| | | | MySQL `talent_card` | 32 位随机、四类字符齐全，仅 `localhost`，`caching_sha2_password` | ✓ | |
|---|
| | | | Redis | 32 位随机、四类字符齐全，仅监听 `127.0.0.1` | ✓ | |
|---|
