去年冬天，网站一个做外贸的登录朋友找我，说他的密码独立站后台被人登进去了，订单数据被改得乱七八糟。破解他问我：密码设得挺复杂，网站怎么还能被破？登录我看了一眼他的登录日志——同一IP，每秒请求二十次，密码持续了四个小时。破解这不是网站"破解"，这是登录拿钥匙一把一把试锁。
网站登录密码的密码攻防，本质是破解成本博弈。攻击者算的网站是：试出密码的收益，是登录否大于时间、算力和被封禁的密码风险。防御者要做的，就是把这三个变量同时拉高。
暴力破解：最笨也最有效的老办法
暴力破解分两种。一种是纯穷举，从aaaaaa试到zzzzzz，理论上能命中任何密码，但实际中位数长度超过8位、含大小写和符号时，穷举空间会膨胀到让普通机器放弃。另一种叫字典攻击，用泄露过的密码库、常见词汇、生日组合去撞。2023年RockYou2021字典包含84亿条密码，命中率惊人——因为大量用户仍在用123456、password、qwerty这类东西。
我见过一个真实案例：某论坛管理员密码是admin123，攻击者用Hydra跑了不到三分钟就进去了。不是技术多强，是密码太弱。
撞库：你的密码可能早就在别处泄露了
很多人习惯一个密码走天下。A站被拖库，B站、C站、邮箱全遭殃。攻击者拿到A站泄露的邮箱和密码组合，写个脚本去B站批量登录，成功率取决于两个站点的用户重合度。2019年某电商平台被撞库，一夜之间上万账户被盗，源头是另一个小论坛的数据泄露。
这种攻击防起来其实简单：同一IP短时间内大量登录失败，直接封禁或弹验证码。但很多小网站根本没做。
中间人攻击与钓鱼：技术之外的口子
密码再复杂，架不住用户在假登录页上自己填进去。我测试过一批仿冒某邮箱登录页的钓鱼站点，页面几乎一模一样，URL只差一个字母。后台记录显示，超过六成访问者输入了真实密码。
中间人攻击更隐蔽。公共WiFi下，攻击者用ARP欺骗把流量引到自己机器上，如果网站还用HTTP明文传输密码，那就是直接送。现在主流站点上了HTTPS，但仍有老旧系统没换。
防御端在做什么
限速是第一道闸。登录接口每分钟超过十次请求，直接返回429。验证码是第二道，但传统图形验证码已经被OCR和打码平台攻破，现在更流行行为验证——鼠标轨迹、点击节奏、设备指纹。
密码存储方面，明文存储是自杀，MD5加盐也不够看了。bcrypt、scrypt、Argon2这些慢哈希算法，让每次验证耗时几十到几百毫秒，攻击者想批量撞库，成本直接翻几千倍。
双因素认证（2FA）是目前最有效的单点改进。即便密码泄露，没有手机上的动态码或硬件密钥，照样进不去。我自己的所有重要账户都开了2FA，去年有一次邮箱密码在某个小站泄露，攻击者试了三次就被挡在动态码外面。
写代码的人容易犯的错
我审过不少登录模块，常见问题包括：错误提示区分"用户名不存在"和"密码错误"——这等于告诉攻击者哪些用户名有效；登录失败次数不记录；密码重置token用短随机数且不过期；session固定攻击没防。这些问题单独看都不致命，组合起来就是一条完整的入侵路径。
有个开发朋友跟我说，他觉得小网站没人会盯上。这话对了一半。自动化扫描器不分大小，全网扫IP，发现登录接口就试。你的网站可能不值钱，但你的服务器可以作为跳板。攻击者不在乎你是谁，只在乎你有没有用。
密码这件事，没有一劳永逸。攻击手法在变，防御手段也在变。唯一不变的是：把密码设长一点、别重复用、能开2FA就开。这三件事做到，你已经比大多数人安全了。