去年冬天，网站我在一个安全论坛上看到有人贴出一张截图：某电商网站的密码后台登录接口，在没有任何防护的暴力情况下，被一个脚本以每秒200次的破解速度尝试密码。不到三小时，网站一个弱口令账户就被攻破了。密码发帖人只写了一句话——“这站连验证码都没有。暴力”

这就是破解密码暴力破解最原始的样子。它不需要什么高深技术，网站核心逻辑简单到可以用一句话说清：拿一堆密码去试，密码直到试对为止。暴力但真正让这件事变得危险的破解，是网站很多人对“一堆密码”的规模没有概念。

字典不是密码书，是暴力武器

暴力破解分两种。一种是纯暴力，从aaa到zzz逐个穷举，这种效率极低，除非密码短得可怜，否则基本没戏。另一种叫字典攻击，攻击者手里有一份密码列表，按优先级逐个尝试。这份列表可能来自某次数据泄露——比如2012年LinkedIn那600万条泄露密码，至今还在各种字典里流通。

我见过一个典型的字典文件，大小不到10MB，里面排列着“123456”“password”“qwerty”“iloveyou”这些老面孔，也有“admin123”“root123”这种针对管理后台的变体。排在前1000位的密码，能覆盖大约3%到5%的真实用户账户。换句话说，一个没有速率限制的登录接口，攻击者用一台普通笔记本，一小时内就能试完这1000个密码，撞开几十个账户。

工具比你想的容易获取

Hydra、Medusa、Burp Suite的Intruder模块，这些工具要么开源，要么自带免费版。Hydra的命令行我背得出来：hydra -l admin -P pass.txt 192.168.1.1 http-post-form，后面跟表单字段和失败标识。一条命令下去，它自己处理并发、重试、超时。有人把它包装成图形界面，点几下鼠标就能跑起来。

真正卡住攻击者的往往不是工具，而是目标网站的防护措施。验证码、登录失败锁定、IP速率限制、双因素认证——每加一层，破解成本就翻倍。但现实是，大量中小网站的后台登录页面，连最基本的失败次数限制都没有。我随手测过几个地方性企业的OA系统，输错十次密码，页面连个提示都不变。

防御不是加个验证码就完事

很多人以为挂个验证码就安全了。验证码能被OCR识别，也能被打码平台人工绕过，成本低到几分钱一次。真正有效的做法是组合拳：登录失败三次后强制延时，五次后锁定账户十五分钟，同时记录IP和用户代理。更彻底的是放弃密码——用短信验证码、TOTP动态口令，或者直接上WebAuthn。

有个做运维的朋友跟我聊过，他们内部系统曾经被撞库，攻击者用泄露的邮箱密码组合尝试登录VPN。他们的应对不是加验证码，而是直接把VPN的认证方式换成了客户端证书。密码？根本不存在了。

密码暴力破解这件事，说到底是一场成本博弈。攻击者的算力、字典质量、工具效率，对防守方的验证码强度、锁定策略、认证方式。哪边成本低，哪边就赢。而大多数时候，输的那一方甚至不知道自己正在被攻击——日志里只有一串失败的登录记录，看起来像是用户自己记错了密码。

所以下次你看到一个登录框，不妨想想：如果我用Hydra跑一遍，能撑多久？