中小企业的信息安全管理真的太弱了

[ericgui]

今天和一个大学师兄通话
他开了一个知识产权代理公司（代为申请专利和商标什么的），公司30多人了
他们找了个外包公司做了一个后台管理系统，
结果我一看，你们猜怎么着？

1 、管理员密码是 6 个 1
2 、联系人和业务案件详细内容，堆在后台，一览无余
3 、这个破系统一看就是用某个开源框架搭起来的，功能残缺，至于漏洞和安全性，简直就更不用说了

我也是射了，实在无力吐槽，而且就这么一坨狗屎，还花了 3 万， 2 个月工期延期到 4 个月。。。。。

现在外包的钱这么好赚么？

PS：搞了半天，这密码是6个1的账号，还是一个超级管理员账号。。。。。

[anyclue]

国内普遍就是这种现状

[manhere]

admin admin666 admin888 admin123 666666 888888 这几个密码基本畅游大部分企业站了

[ericgui]

@gen900 你说得对，其实甲方（我同学这公司）对自己的所有需求，没有做到很好的梳理，所以可能沟通也不清楚，现在这破系统还有几个功能没实现。所以我觉得实在不知道怎么说，毕竟我说多了，我同学自己都不懂了。

甲方自己的信息安全意识也是个大问题。他们确实这方面没想明白。

[ivvei]

密码强度是软件使用者的事情啊，跟开发者有什么关系，又不是不能改……

东西都堆在后台一览无余多方便啊，哪不好了。

[ZXCDFGTYU]

我司外包业务还在用 aspcms 和 dedecms 等国产垃圾。。。给客户用的项目托管服务器还在用 win2003 ，没监控，没负载均衡，没心跳机制，核心业务的对外接口不做防重放，用户鉴权直接用户名密码和 id 直接 get 到 server 。。提了好几万遍换 linux ，加负载均衡和心跳，领导直接一句不可能上这些因为他不会用就把我怼回去了。

我 tm 能说啥。

哦对了，现在我司正在准备新三板。

[armoni]

我还见过某政府系统密码就是 1 位： 1

[UnknownR]

某 500 强，非国内，安全做的很到位，但是相对的，各种权限和等级分的巨细，别说是普通用户了，就是我们 IT 想要个普通的系统权限，也要审批个几个工作日，去数据中心都是提前个把月申请的，三方确认，中小企业估计很难承担增加安全所增加的成本，费用只是小意思，主要是人员与时间

[darrenfang]

我现在做的后台，新用户登录强制改密码...之前口头说完全不起作用

[xiazhi]

这系统是很弱，那么做安全的公司能挣到钱么？
什么样的市场就产生什么样的产品~~~

[ericgui]

@UnknownR 话虽如此，但这个系统里，有他们所有客户资料，以及正在进行中的业务的资料。一旦被删库什么的，损失挺大。

[lalala2016]

去年不小心弄到了某宝（不是支付宝）的后台路径，鬼使神差的居然碰对了密码，那还是家上市公司，现在的管理员安全意识有多薄弱可想而知了。现在身居要位都不是技术员，想没有漏洞都难。

[wanglaihuai]

中小企业？中铁的报价系统都是默认密码。哎呀我是不是说多了………

[Mac]

123456

[qile1]

你们说密码的见过自己系统 ip 地址都忘记得没？

[fashioncj]

上公网也不一定能发现登录入口。让小企业注意安全。得考虑成本。

[8023]

用户名密码为 admin/admin 的 基于 dedecms 的 企业展示站, 一扫一大堆...

[coderluan]

楼主给你 3w 块，你肯接同样功能的网站吗，然后即使对方没要求，你也会特意考虑各种安全问题？

[zdkmygod]

@ericgui 后台直接连到微信是什么意思，微信直接打开管理系统的页面么？
不懂怎么开发个微信小应用就增加安全性了。

[dven]

刚换的号码之前可能是以前有人用过老是受到某家催收机构的骚扰，后来实在忍无可忍了，直接从百度搜到的后台地址 3389 弱口令（ Administrator/123456 ）进去把除 C 外的盘全格了

[kwlokip]

话说密码不是得要使用者自己改的吗