跳过密码直接解压

我试过三十多次密码，跳过从生日到前女友的密码纪念日，全错。直接那个压缩包躺在桌面角落，解压文件名写着“2023年度总结”，跳过发件人是密码三个月前离职的同事。他走的直接时候没交接完，这个包是解压最后的尾巴。

后来我点开压缩包属性，跳过发现是密码zip格式，用的直接是ZipCrypto加密。这种加密有个老毛病——当压缩包里有明文文件时，解压攻击面就打开了。跳过我翻出那个同事的密码旧邮件，找到他发过的直接公开分享链接，里面恰好有个同名文件。下载，对比，两个文件的前几个字节完全一致。

ZipCrypto的弱点在于密钥流复用。如果你能预测或获取到部分明文，配合压缩包里的加密数据，就能算出密钥。我用了Python的bkcrack工具，几秒钟就把密钥跑出来了。解压，密码是“qwerty123”。这哥们设密码跟没设一样。

整个过程不需要暴力破解，不需要猜密码，只需要一点文件系统层面的知识。这提醒我两件事：第一，zip加密从来不是为安全设计的，它更像是个“防君子不防小人”的锁；第二，那个同事把密码写在便利贴上贴在显示器边框，我路过他工位时瞥见过，只是当时没在意。

后来我把这招教给一个做运维的朋友，他听完沉默了一会儿，说他们公司内部系统导出的数据包，全都用zip加密传输，密码统一是“Admin@123”。我问他知不知道ZipCrypto的弱点，他说知道，但“别的部门都这么干，改了反而麻烦”。

你看，很多时候所谓的密码保护，只是走个流程。真正重要的数据，要么用AES-256的7z格式，要么干脆别用压缩包传输。至于那种“跳过密码”的技巧，说穿了不值钱——它只对老旧的加密算法有效，但现实中大量文件还在用这种老算法。

那个压缩包最终解开了，里面是十几张Excel表，记录着去年每个月的报销明细。没什么机密，但按公司规定这些数据不该外传。我把文件拷到U盘，删掉了桌面上的压缩包，然后给行政发了封邮件，说那个离职同事的账号还有文件没归档。

密码这东西，设得太复杂自己记不住，设得太简单等于没有。真正靠谱的做法是别依赖单一压缩包加密，重要文件分开存，传输走加密通道。至于那些还在用“123456”当密码的同事，我只能说，你的文件不是被破解的，是被顺手牵羊的。