在企业网络安全运维中，弱口令始终是引发安全事件的最主要隐患之一。为了确保内部服务器（如 SSH、FTP、Database 等）的账户密码符合企业安全基线策略，定期进行**密码合规性审计（Password Compliance Auditing）**至关重要。
本文将基于 Kali Linux 环境，详细介绍如何使用高性能、模块化的网络登录审计工具 Medusa（美杜莎）进行服务弱口令的自动化检测，并针对发现的风险提供相应的安全加固建议。
> ⚠️ 安全合规声明
> 本文所涉及的技术与工具仅用于合规的网络安全审计、企业内部资产风险排查及合规的靶场教学环境。请勿用于任何未经授权的测试，任何因滥用技术导致的法律责任由操作者自行承担。
>
一、 Medusa（美杜莎）工具概述
Medusa 是一款速度极快、支持多线程并行的网络登录暴力破解/审计工具。与其他同类工具相比，它具有以下显著特点：
模块化设计：支持 SSH、FTP、Telnet、MySQL、MSSQL、RDP 等数十种常见网络协议。
高效并行：支持多线程、多主机、多用户并发审计，执行效率极高。
稳定性强：对网络连接的超时和异常处理机制较为完善。
在 Kali Linux 中，Medusa 属于内置的标准安全测试工具。我们可以在终端输入 medusa -h 查看其基本参数。
二、 基础核心参数解析
为了编写高效的审计脚本，我们需要掌握 Medusa 的几个核心参数：
| 参数 | 说明 | 示例 |
|---|---|---|
| -h | 指定目标主机（单个 IP） | -h 192.168.1.100 |
| -H| 指定目标主机列表文件（批量审计） | -H hosts.txt |
| -u | 指定单个待审计的用户名 | -u root |
| -U | 指定待审计的用户名字典文件 | -U users.txt |
| -p | 指定单个测试密码 | -p 123456 |
| -P | 指定企业内部合规性测试密码字典 | -P passwords.txt |
| -M | 指定需要调用的协议模块名称 | -M ssh |
| -n | 指定非标准服务端口号 | -n 2222 |
| -t | 设置并发线程数（根据网络负载调整） | -t 10 |
三、 实战场景：远程服务安全性审计
场景 1：针对单个 SSH 服务的弱口令专项排查
假设我们需要对企业内部一台资产 IP 为 192.168.200.50 的 Linux 服务器进行 SSH 登录合规性审计，检查是否存在常见的运维弱口令。
审计指令：
```bash
medusa -h 192.168.200.50 -u root -P /usr/share/wordlists/metasploit/unix_passwords.txt -M ssh
```
命令拆解：
-h 192.168.200.50：指定被审计的资产 IP。
-u root：限定审计目标为管理账户 root。
-P ...：加载 Kali 内置的常用弱口令字典。
-M ssh：调用 SSH 协议审计模块。
场景 2：针对企业多台 FTP 服务器的批量合规性审计
在日常巡检中，可能需要对网段内的多台 FTP 备份服务器进行批量评估。
-
首先，将所有服务器 IP 写入 ftp_servers.txt。
-
将需要合规校验的用户名写入 user_list.txt。
**审计指令：**
```bash
medusa -H ftp_servers.txt -U user_list.txt -P /usr/share/wordlists/fasttrack.txt -M ftp -t 5 -O audit_result.txt
```
重点参数补充：
-t 5：限制并发线程为 5，防止流量过大影响生产业务或触发防火墙熔断。
-O audit_result.txt：将审计发现的风险结果输出到本地日志文件中，便于后续整改跟进。
四、 审计结果分析
执行完毕后，Medusa 会在终端清晰地输出测试状态：
SUCCESS：表示该账户密码组合测试成功，意味着该资产存在弱口令风险，必须立即整改。
FAILED：表示密码不匹配，暂时安全。
五、 企业网络安全加固建议（防护对策）
通过 Medusa 安全审计发现弱口令后，运维团队应立即采取以下措施进行安全防御加固：
- 落实强密码策略：
强制开启密码复杂度要求（长度 \ge 12 位，必须包含大小写字母、数字及特殊字符），并设置 90 天定期更换周期。
- 禁用 Root 直接登录：
在 /etc/ssh/sshd_config 中配置 PermitRootLogin no，改用普通用户登录后再 sudo 提权。
- 改用密钥认证：
关闭密码登录（PasswordAuthentication no），全面采用 SSH 密钥对（Key）认证方式。
- 部署防暴力破解工具：
安装并配置 Fail2ban。当检测到某一 IP 连续登录失败超过 5 次时，自动利用 iptables 封禁该 IP 24 小时。
结语
安全测试的本质是为了更好地防御。通过定期使用 Medusa 这类高效工具对内部系统进行"全方位体检"，我们可以赶在风险被恶意利用之前完成修复，切实筑牢企业网络安全的第一道防线。