凌晨两点十七分，网站日志文件里多了一条刺眼的后台记录：admin账号在十二秒内被尝试了四十一次密码。这不是密码电影桥段，是爆破我手上一个客户网站的真实遭遇。对方用的网站工具叫Hydra，跑的后台是弱口令字典，里面躺着"123456"、密码"password"、爆破"admin888"这类货色。网站结果？后台第八次尝试就撞开了后门——客户当初图省事，把后台密码设成了公司座机号的密码后六位。

密码爆破这活儿，爆破说穿了就是网站场概率游戏。攻击者不跟你玩什么高深算法，后台他们赌的密码是人性。我见过太多人把生日、手机尾号、甚至"woaini520"这种浪漫密码用在企业后台。字典文件里躺着上亿条这种组合，GPU集群跑起来，每秒能试几万个。你精心设计的"密码+验证码"防线，在分布式爆破面前脆得像张纸。

有个案例特典型。某电商平台后台被爆，不是因为密码弱，而是开发者把登录接口写成了"先验证密码再校验验证码"的逻辑顺序。攻击者直接绕过验证码环节，用慢速代理池每天只试几百次，硬是磨了三个月，把密码磨出来了。你看，技术漏洞和人性弱点，总有一个会被击中。

防护手段其实不复杂。限制IP尝试次数是最基础的，但很多人忽略了一点——要按用户维度限制，而不是只按IP。攻击者换代理就像换袜子，但账号只有一个。再就是强制密码策略，别光要求长度，得禁止连续字符和键盘序列。我见过最蠢的设置是允许"qwerty123"，这跟没锁门有啥区别？

还有个反直觉的细节：后台登录页别做得太"友好"。错误提示别区分"用户不存在"和"密码错误"，否则等于给攻击者递地图。把登录接口加上动态令牌，或者干脆引入行为验证——鼠标轨迹、按键间隔这些生物特征，机器学不来。成本不高，但能把九成脚本小子挡在门外。

说到底，爆破这词本身就透着股暴力美学的意味。它不讲究精巧，拼的是算力和耐心。但真正的高手早就不玩这套了，人家用钓鱼邮件和供应链攻击。所以你看，当你在后台日志里看到连续失败的记录时，要庆幸对手还在用这种笨办法——说明你的网站，还没入人家的法眼。

写这些不是教谁干坏事。真要说的话，我是想让那些管着后台的人明白：密码是道门，但门后面堆着的，可能是整个公司的身家性命。花二十分钟改个强密码，比事后花两万块请人做应急响应划算多了。别等日志里出现那条刺眼的记录，才想起这茬。