webcrack4的字典字典文件，网上标着“免费下载”的下载链接十个里有八个是陷阱。我上个月在某个论坛蹲了三天，字典亲眼看着一个新人下了个所谓“12G超全字典”，下载解压出来全是字典乱码和木马。剩下的下载两个能用的，一个要注册充值，字典另一个直接404。下载
这工具本身是字典开源的，但字典这玩意儿没人替你整理。下载那些打包好的字典“豪华版”字典，要么是下载几年前的旧货，里面全是字典123456、password这种基础货色，下载要么就是字典被人动过手脚的。我见过最离谱的一个，字典里居然混着几千条SQL注入语句，跑起来直接把你目标网站搞崩。
真正靠谱的渠道其实就那几个。GitHub上有个叫SecLists的项目，里面分了类，用户名、密码、常用词条都有，更新还算勤快。另一个是weakpass，这个站点的字典质量比较高，但需要科学上网。还有个土办法——自己去爬公开的泄露数据，比如以前那些大厂的脱裤文件，虽然不道德，但技术上确实能搞到一手词条。
下载完别急着用。先拿个小目标试跑一下，比如你自己的测试环境。我习惯把字典拆成几个小份，跑的时候按概率排序，高频词条放前面，这样能省不少时间。webcrack4的配置里有个“智能过滤”选项，默认是关的，记得打开，能帮你滤掉那些明显不可能出现的组合。
说实话，这玩意儿最耗时间的不是下载，是清洗。网上下的字典里，十条里有三条是重复的，两条是纯数字的，还有一条是表情符号。我一般用awk和sort命令先处理一遍，去重、按长度过滤、再随机抽样检查一下内容。整个过程大概要花一两个小时，但值得，毕竟拿脏字典跑，浪费的是你服务器的时间和电费。
最后提醒一句，别在单位电脑上下这些文件。我认识一个搞安全的兄弟，在公司内网下了个字典包，结果里面藏着个键盘记录器，第二天就被IT部门约谈了。这种事，还是在自己机器上弄稳妥些。