打开浏览器搜“MD5解密”，解密加密跳出来的网站前十个网站几乎都挂着“免费在线解密”的招牌。真用起来就发现，免费这些站点多半在玩文字游戏——你输入一串32位的解密加密哈希值，它秒回一个“解密失败”，网站然后弹窗让你充值会员。免费有个做运维的解密加密朋友跟我吐槽，他为了查一个内部系统的网站弱口令，连续试了七八个平台，免费结果全是解密加密套路，最后靠着自己写脚本跑字典才搞定。网站

MD5本身是免费不可逆的。这玩意儿是解密加密散列算法，不是网站加密算法，它把任意长度的免费数据映射成固定128位二进制，过程里有大量信息丢失。理论上你没法从“e10adc3949ba59abbe56e057f20f883e”反推出“123456”，只能靠穷举比对。所谓“解密”，本质是拿现成的彩虹表或字典去撞库。那些宣称“免费”的网站，背后往往有数据库，你提交的哈希值反而成了它们扩充字典的素材。这算盘打得精，你求它办事，它拿你当免费劳动力。

那免费的靠谱工具到底有没有？有，但得换个思路。像CMD5这类老牌站点，提供有限次数的免费查询，超过额度就要付费或看广告。真正完全免费且无限制的，多是开源命令行工具，比如hashcat配合rockyou.txt字典，在本地跑GPU爆破。速度取决于你的显卡，一张RTX 4090每秒能试上百亿次，纯数字8位密码几分钟就能跑完。代价是你得懂点命令行，还得自己准备字典——这门槛拦住了绝大多数只想查个密码的普通用户。

我见过最离谱的案例，是某小公司程序员把用户密码直接存MD5，连盐都不加。数据库泄露后，黑客用公开的彩虹表几分钟就还原了超过六成的密码。老板急得跳脚，程序员委屈说“网上都说MD5加密很安全”。这锅真不该算法背，是使用方式太蠢。MD5设计于1992年，当时计算力有限，碰撞攻击在2004年就被中国学者王小云团队攻破。现在连Windows系统都不再用它做密码哈希，转而推荐bcrypt或Argon2。

如果你非要用在线免费站，记住一条铁律：只查那些你确定是弱密码的哈希，比如常见键盘序列、生日组合。真碰上复杂密码，任何免费站都无能为力，因为计算成本摆在那儿——人家服务器跑一小时电费都够买好几杯奶茶，凭什么白给你干活？那些声称“秒破复杂密码”的，九成是钓鱼网站，骗你输入敏感哈希后反手入库。

最后说个反常识的观察：很多“解密”需求其实来自开发者自己。老项目里遗留的MD5密码需要迁移，合规审计要验证弱口令，甚至取证调查要还原历史数据。这类场景下，与其指望免费网站，不如花点时间搭个本地环境。过程不复杂——装个hashcat，下载SecLists字典，再写两行批处理脚本。折腾半小时，换来的是终身免费的“解密”能力，还不用看弹窗广告。这笔账，怎么算都划算。