抓到一个弱口令，弱口比破解一个强密码省事一万倍。令漏别不信，抓包我见过太多系统，弱口后台账号密码就是令漏admin/admin123，或者干脆和公司名一样。抓包Fiddler这工具，弱口平时用来调试接口，令漏关键时刻，抓包它就是弱口捅破窗户纸的那根手指。

打开Fiddler，令漏设置好HTTPS解密，抓包浏览器里随便点点目标网站。弱口左侧列表哗啦啦刷出一堆会话。令漏别慌，抓包找那个带锁图标的POST请求——登录操作十有八九藏在这里。双击点开，右侧“Inspectors”面板切到“WebForms”或者“JSON”标签，明文参数就躺在那里。username=admin，password=123456，连个加密都没有。这种时候，你甚至不需要爆破，直接拿这组账号去试别的系统入口，八成能撞开。

但抓包的价值不止于此。有一次，我碰到个登录框，前端JS做了RSA加密，看着挺唬人。密码框里输入的东西，传到后端前已经被转成一大串乱码。手动猜密码？门都没有。可Fiddler里看得清清楚楚——那串密文每次都在变，但仔细比对，发现加密后的开头几位字符永远是固定的。顺藤摸瓜，找到前端JS里写死的公钥，再一看，后端验签逻辑居然只校验密文长度，不校验内容来源。我直接构造一个固定密文，把密码字段替换成自己算好的值，登录就过了。整个过程，Fiddler就是个透明的玻璃墙，你看着数据流进流出，漏洞就藏在某个不经意的逻辑缝隙里。

更常见的情况是，弱口令压根不需要技术含量。某次测试一个内部管理系统，Fiddler抓到登录请求，密码字段是base64编码的。解码一看，“password”。对，就是英文单词password。我试着把密码改成“Password123”，重新编码发过去，居然也通过了。原来系统只校验账号是否存在，密码只要符合长度要求就行，根本不比对数据库里的值。这种漏洞，你靠眼睛看是看不出来的，必须上手改包。

抓包这种事，手要快，眼要毒。登录接口往往有频率限制，但Fiddler可以打断点。Ctrl+L调出QuickExec，输入`bpv /login`，请求就会停在断点处。这时候你手动改参数，想试几次试几次，绕过前端的验证码和次数限制。后端如果没做额外的防护，那这系统基本就是裸奔状态。改完密码字段，点“Breakpoint”窗口里的“Run to Completion”，响应直接回来。要是返回码是200或者302跳转，恭喜，进去了。

说到底，弱口令漏洞的核心不是密码简单，而是系统信任了不该信任的东西。Fiddler告诉你，客户端发来的每个字节都可以被篡改。开发者要是以为前端加密就安全了，以为密码复杂就没事了，那纯属自欺欺人。我见过最离谱的一次，某后台登录接口连HTTPS都没上，Fiddler里直接明文传输账号密码，连解密步骤都省了。这种系统，跟把钥匙挂在门把手上有什么区别？

工具永远是死的，人脑才是活的。Fiddler用熟了，你会发现它不只是调试利器，更像一面照妖镜——把那些藏在代码逻辑背后的傲慢和疏忽，照得一清二楚。弱口令之所以叫弱，不是因为它短，而是因为设计者打心底里觉得，没人会闲着没事去抓他的包。