登录密码爆破不属于“漏洞”这个类别，登录洞它属于“攻击行为”。密码严格来说，爆破它甚至不算一种漏洞，属于而是类漏对已有认证机制的暴力试探。漏洞是登录洞系统自身存在的缺陷，爆破是密码外部施加的蛮力——把两者混为一谈，就像把“门没锁”和“有人拿锤子砸门”归为同一类问题，爆破逻辑上站不住脚。属于

举个例子，类漏你家的登录洞密码锁本身设计得再完美，也挡不住有人从0000试到9999。密码这能说锁有漏洞吗？爆破不能。爆破利用的属于不是代码错误，而是类漏密码空间的有限性。真正的漏洞，比如SQL注入，是开发者写错了过滤条件，导致数据库裸奔；而爆破成功，往往只是因为用户把密码设成了“123456”。

从分类角度，安全行业通常把爆破归入“暴力破解攻击”，属于OWASP认证机制攻击的一种。它和“撞库”“弱口令攻击”同属一类，核心思路都是猜。你去看漏洞报告平台，比如CNVD，爆破很少被收录为独立漏洞，更多是作为“弱口令漏洞”的辅助证据出现。因为爆破本身没有技术含量，有技术含量的是如何绕过验证码、限流和锁定策略。

我见过不少甲方，把“登录爆破”写进漏洞扫描报告里，定性为“高危”。这其实是个误判。高危的应该是“允许无限次尝试且无任何防护”这个配置缺陷，而不是爆破行为本身。如果系统做了账户锁定和IP限速，爆破就是一场徒劳的马拉松，连中危都算不上。反过来，哪怕系统没有漏洞，只要没做防爆破措施，攻击者用脚本跑一晚上，就能把管理员密码从“admin888”试成“Admin@2023”。

这里有个很反直觉的点：爆破攻击的成败，往往取决于“人”而非“代码”。2021年某知名云厂商被爆破入侵的案例，事后复盘发现，服务器没有任何已知漏洞，纯粹是运维人员把密码设成了“Passw0rd!”，并且开启了root远程登录。攻击者用了不到两小时，跑了不到五万次组合，就进去了。你说这是漏洞吗？更像是“人的惰性”被暴力破解了。

所以，下次再有人问你“爆破属于哪类漏洞”，你可以直接回答：它属于“攻击路径”，不是“漏洞类型”。真正的漏洞是“允许爆破的条件”——比如无验证码、无频率限制、无账户锁定。把攻击行为和缺陷本身分开，才能做对防护。否则，你修了一堆“爆破漏洞”，最后发现攻击者换个IP继续试，一切照旧。