我见过最蠢的破解密码是“password123”。那是网页个银行后台，管理员图省事，账号把员工统一账号的密码密码设成这个，用了三年没换。破解直到某天一个刚入职的网页实习生，拿着公司配的账号公用电脑，随手在浏览器里点了一下“显示密码”——那个星号后面，密码赫然躺着一串毫无遮掩的破解明文。这事后来怎么处理的网页我不知道，我只知道，账号那天下午整个IT部门的密码聊天群里，炸了锅。破解

破解网页账号密码，网页说白了就三招：猜、账号偷、骗。猜是最笨的，但也是最有效的。别不信，你去翻翻那些泄露的数据库，几亿条记录里，“123456”和“qwerty”能占掉两成。剩下的人稍微聪明点，用生日、手机号、或者宠物名字。我有个朋友，密码是“zhang1990”，他叫张伟，1990年生。我用了三次就试出来了，他当时脸都绿了。可这能怪谁？人脑记不住乱码，这是生理缺陷，不是道德问题。

偷就更有技术含量了。不是让你去撬锁，而是利用网页本身的漏洞。最常见的是SQL注入——你往登录框里敲一串特殊字符，比如“' OR '1'='1”，如果后端没做过滤，数据库就会乖乖把第一行用户记录吐出来。这招老得掉牙了，2008年就被公开讨论过，可直到今天，我随便找个中小型企业的官网，十有八九还能试出点东西。为什么？因为程序员也是人，也怕麻烦。写安全代码费时间，老板又催得紧，先上线再说，漏洞以后补——然后就没有以后了。

骗，则是最高明的。钓鱼网站知道吧？做个一模一样的登录页面，域名换一个字母，比如“g00gle.com”这种。你根本分辨不出来，输入账号密码，点登录，页面跳转回真网站，看起来一切正常。可你的密码已经到了别人手里。这招防不胜防，连老网民都中招。我认识一个做了十年安全运维的老哥，去年在机场连了个免费WiFi，弹出来一个“验证登录”的页面，他顺手输了公司邮箱的密码。第二天，他收到了自己发给自己的邮件，里面附着一个木马附件。

但你别以为破解都是高手的专利。现在工具太发达了，一个初中生，下载个Hydra或者Burp Suite，对着目标网站跑一遍字典，就能撞开一堆弱口令账号。我见过最离谱的案例，是某个小区物业的缴费系统，管理员密码是“admin888”。那个初中生没干坏事，只是觉得好玩，进去逛了一圈，发现能改业主的物业费余额，就顺手把自己的那户改成了负数——欠了物业两万块。物业报警，警察找到学校，那孩子一脸无辜：“我就是试试。”

说这些不是教你干坏事，而是想告诉你一个残酷的事实：在这个时代，你的密码安全，根本不取决于你设得有多复杂，而取决于那些保存你密码的服务器，到底有多懒。你密码设得再花哨，架不住网站管理员把数据库明文导出，然后丢在某个共享网盘上。你唯一能做的，就是别在所有网站用同一个密码。至少，别让一个“password123”毁掉你所有的账号。