```html

2019年冬天，黑客我在一个二手硬盘里翻出个叫“rockyou.txt”的密码文件。14MB，字典1400万条密码。黑客打开一看，密码前一百行全是字典“123456”“password”“iloveyou”这类货色。当时我就笑了——这玩意儿也能叫黑客字典？黑客

但笑完我沉默了。因为我知道，密码就是字典这种“弱智”字典，能撞开现实中至少三成的黑客账户。

字典不是密码猜，是字典概率游戏

很多人以为黑客拿字典是瞎蒙。不对。黑客密码字典的密码本质是：人类设密码时，懒的字典程度有规律可循。

你想想自己注册小网站时怎么设密码的？名字拼音加生日，或者“qwerty”后面补个“123”。这不是你一个人的毛病，是几亿人的肌肉记忆。字典干的事，就是把这种肌肉记忆批量打印出来，按使用频率从高到低排队。

“123456”为什么永远排第一？因为每年泄露的密码库里它都霸榜。2012年LinkedIn泄露650万条，它第一。2016年MySpace泄露3.6亿条，它还是第一。2021年RockYou2021合集84亿条，它依然第一。这不是巧合，是人类行为学样本。

规则比字典本身更狠

真正干活的黑客不会只拿原始字典硬撞。他们用Hashcat跑规则。比如“best64.rule”这个规则文件，能把“password”瞬间变成“Password”“password1”“p@ssword”“drowssap”等64种变体。

我试过用这个规则跑一个8位纯字母密码的哈希。原始字典里没有那个词，但规则引擎在0.3秒内生成了12万个变体，第7万个命中了。那个密码是“Sunshine2023”——用户觉得加了年份就安全了，规则引擎专门吃这种心理。

更狠的是“组合攻击”。把两个字典交叉拼接，“admin”+“123”=“admin123”，“love”+“you”=“loveyou”。2014年之前，这种组合能破掉60%以上的8位密码。

中文密码的坑

老外字典里中文密码很少，但这不意味着中文用户安全。国内黑客圈有个叫“TOP500”的字典，专门收录拼音全拼加数字。我见过最典型的案例：某论坛用户密码是“woaini1314”，字典里排第37位。另一个是“zhangwei1990”，字典第112位。姓名拼音加出生年份，这个模式在国内撞库成功率奇高。

还有个细节：很多人用手机号当密码。11位数字，字典里跑一遍不到两秒。你以为手机号只有你知道？社工库里早就标好了。

防御不是改密码，是改习惯

我见过一个安全研究员，他所有账户密码都是随机生成的20位字符串，用KeePass管理。但他老婆的密码是“xiaoming2018”——孩子名字加出生年。他劝了三年没劝动。去年他老婆的淘宝账号被盗，刷了四千多块。

这事说明什么？密码字典攻击的不是技术漏洞，是人性漏洞。你越觉得“这个密码只有我能想到”，字典就越容易命中。因为你的“独特”早就被统计过了。

现在有些网站强制12位以上加特殊符号。有用吗？有。但前提是你别用“Password!2024”这种。规则引擎里有个“leetspeak.rule”，专门把“a”换成“@”，“o”换成“0”，“e”换成“3”。你觉得自己聪明，字典作者早替你想好了。

最后说个数据。2023年某安全公司发布报告，全球泄露密码中，长度超过10位且包含大小写数字符号的，只占7.2%。剩下92.8%的密码，都在字典的射程范围内。

所以别问“我的密码安不安全”。问自己：如果明天你的密码出现在一个14MB的文本文件里，你会惊讶吗？如果会，现在就去改。

```