凌晨两点，网站某电商平台的密码登录接口突然涌进每秒三千次的POST请求。运维盯着监控屏上飙升的爆破CPU曲线，骂了句脏话——有人正拿撞库脚本怼他的网站防线。这不是密码电影桥段，这是爆破我上周亲眼见的真实场景。

密码爆破这活儿，网站说穿了就两板斧：猜和撞。密码猜，爆破是网站拿字典里的弱口令挨个试，admin/123456这种组合至今还能在不少老系统上开门。密码撞，爆破更损，网站拿别的密码网站泄露的账号密码库，批量往目标站上试。爆破很多人习惯一个密码走天下，这边论坛泄露了，那边银行账户就跟着裸奔。去年某社交平台被撞库盗走千万级账号，事后统计，八成受害者用的密码跟泄露源完全一致。

工具门槛低得吓人。Hydra、Medusa这些开源软件，图形界面点几下就能跑。更别提现在有人把爆破逻辑封装成在线服务，注册个账号充几十块钱，输个网址就能开打。我见过最离谱的案例，是个高中生用网上买的“爆破套餐”，三小时就把学校教务系统管理员密码试出来了——那密码是“school2023”。

但别以为爆破就是无脑穷举。真正厉害的爆破手会先花时间侦察。看登录页有没有验证码，看错误提示是“密码错误”还是“用户不存在”，看接口有没有频率限制。这些细节决定攻击成本。有的系统错误提示写得太贴心，等于免费告诉攻击者“这用户名存在，继续怼密码吧”。有的验证码形同虚设，OCR识别一下就能绕过。还有的接口压根没做限流，让攻击者能肆无忌惮地跑亿级字典。

防守方也不是吃素的。现在稍微像样的网站都上了多因素认证，光有密码没用，还得过短信或TOTP那关。更聪明的做法是搞行为分析——同一个IP每秒请求超过十次直接封禁，或者用设备指纹识别异常登录。但道高一尺魔高一丈，攻击者用代理池轮换IP，用模拟器伪造设备指纹，照样能钻空子。

说到底，爆破的本质是概率游戏。只要密码空间有限，理论上总能试出来。区别只在于时间成本。一个八位纯数字密码，普通电脑跑几小时就破；换成十六位大小写加特殊字符混合，用顶级显卡阵列也得算上千年。可惜现实中太多人图省事，把密码设成生日加手机号，这等于把钥匙挂在门口，爆破手连撬锁的功夫都省了。

我认识个白帽子，专门帮企业测密码强度。他说最讽刺的是，很多甲方要求员工每三个月换一次密码，结果大家就轮流在“Spring2024”“Summer2024”之间切换。爆破字典里早就收录了这些规律，换密码反而成了给攻击者递情报。

写这篇文章的时候，我顺手查了下自家路由器后台——密码还是出厂默认的admin。得，今晚得改了。