我见过太多人把“密码破解”想成电影里那种黑客敲几下键盘就弹出一串字符的网页场面。现实要无聊得多——大多数所谓破解，密码根本不是破解暴力穷举，而是工具偷懒的人撞上了更懒的密码习惯。

上个月帮朋友恢复一个旧笔记本的网页登录密码。那台电脑用了八年，密码他早忘了密码。破解我拿了个带USB接口的工具破解工具，插进去，网页选“重置密码”，密码然后……直接清空了。破解前后不到三分钟。工具没有炫酷代码，网页没有暴力跑字典，密码甚至没让系统启动。破解原理简单得可笑：Windows把密码哈希存在SAM文件里，工具只是绕过了登录验证，直接改掉那个文件。

但这类工具真正的杀伤力，从来不在技术，而在人性。你猜我朋友设的密码是什么？他名字首字母加生日。这种密码，连工具都用不上——翻翻他朋友圈就能猜出来。

真正有点技术含量的叫“离线字典攻击”。攻击者先拿到系统里存密码的哈希文件（比如通过一个钓鱼U盘或者系统漏洞），然后回到自己的电脑上慢慢算。这时候工具就变成了一台“密码绞肉机”。有个叫Hashcat的工具，能调动GPU并行计算，普通八位纯数字密码，几秒就给你试完。如果是大小写加数字加符号的十二位密码，那就得看运气了——可能几天，可能几百年。

我试过一次。拿了自己的一个旧密码哈希跑，七位纯小写，用GTX 1080显卡，大概四十分钟跑完。屏幕上滚过几亿条组合，最后跳出一个明文——那种感觉挺奇妙的，像看着自己的隐私被机器一片片撕开。

但别以为所有破解都靠算力。有些工具专门“骗”密码，比如键盘记录器。我认识一个搞网络安全的老哥，他说现在最有效的攻击是“撞库”——用你泄露在其他网站的密码去试你银行账户。密码破解工具在这个环节里反而成了配角，真正的主角是那些没改密码习惯的人。

说到这儿，得提一嘴法律边界。在中国，未经授权破解他人密码是违法的，哪怕是你自己家的路由器。我那个帮朋友重置密码的操作，严格来说也得先确认设备归属权。工具本身无所谓善恶，但拿它干坏事，刑法第二百八十五条正等着你。

最后说点实在的。如果你真担心自己密码被破解，先别急着买那些“防破解”软件。最简单的办法：设一个十二位以上的随机密码，分大小写带符号，不同网站用不同密码。密码管理器比任何破解工具都管用。因为工具再厉害，也怕你根本不按套路出牌。

说到底，破解工具是一面镜子。它照出的不是系统的漏洞，而是你懒得动脑子的习惯。