去年秋天，何破我帮一个做外贸的解网朋友看他的独立站。他说后台每天有几十条登录失败记录，站登IP来自全球各地。录密我扫了一眼日志，何破发现攻击者用的解网密码列表里，排第一的站登是“admin123”，第二是录密“password”，第三是何破“12345678”。他的解网网站卖机械配件，客户分布在德国和巴西，站登压根没人会用这种密码。录密这就是何破典型的撞库——拿别的平台泄露的账号密码，批量往他这儿试。解网

破解网站登录密码这件事，站登外行想的是“猜”，内行干的是“捡”。2012年LinkedIn泄露了1.17亿条记录，2013年Adobe泄露了1.53亿条，2019年Collection #1打包了7.73亿个邮箱和2100万个密码。这些数据在黑市上流通几年后，会变成一个个TXT文件，按行业、按地区、按密码强度分好类。攻击者不需要懂编程，下载下来写个脚本，对着目标网站的登录接口跑就行。成功率取决于目标用户有多懒。

我见过最离谱的案例是一家小型电商平台。他们的用户注册时强制要求密码包含大小写字母、数字和符号，但后台管理员账号的密码是“qwer!234”。攻击者用SQL注入拿到数据库后，发现密码是MD5哈希，直接扔进彩虹表，三秒钟出结果。MD5在2004年就被王小云证明能碰撞，可直到今天，还有大量网站在用不带盐的MD5存密码。这不是技术问题，是态度问题。

暴力破解反而没那么可怕。一个8位纯数字密码有1亿种组合，用普通服务器跑HTTP请求，每秒能试几百次，算下来要几十个小时。但网站通常有频率限制，试错超过五次就锁账号。所以真正的攻击者更爱“凭证填充”——用泄露的邮箱密码对，去撞目标网站。因为很多人所有平台用同一个密码。你在大麦网泄露的密码，可能正好能登你的网银。

那怎么防？第一，别用弱密码。我知道这话像废话，但“P@ssw0rd”这种把字母换成符号的玩法，早就在攻击字典里了。第二，开双因素认证。Google的研究显示，开启短信验证码能挡住96%的批量攻击，用硬件密钥能挡住99%。第三，网站运营者该做的：存密码用bcrypt或argon2，加盐，登录接口做速率限制，监控异常IP。这些不是高深技术，是基本功。

去年有个客户问我，他的网站被撞库了怎么办。我让他查日志，发现攻击者用的是俄罗斯的IP，但请求头里的User-Agent是“python-requests/2.28.1”。这等于在脑门上写了“我是脚本”。我让他直接封了所有非浏览器的User-Agent，攻击量当天降了九成。剩下的那一成，是攻击者换了伪装。道高一尺魔高一丈，但大多数攻击者连伪装都懒得做。

说到底，破解登录密码的核心不是技术对抗，是成本博弈。攻击者算的是投入产出比：用泄露数据撞库，成本几乎为零；用暴力破解，要租服务器、买代理IP、写验证码识别，成本上去了。网站运营者要做的，就是把攻击成本抬高到不划算的程度。至于普通用户，别在多个网站用同一个密码，这比什么安全软件都管用。我自己的做法是：重要账号用密码管理器生成随机密码，不重要的用统一弱密码，但绝不绑定手机号。这样即使泄露，损失也可控。