凌晨两点，密码暴我盯着屏幕上跳动的力破光标，看着Hydra在终端里一行行吐出密码尝试记录。解工具目标是密码暴一个老旧的论坛后台，管理员密码是力破8位纯数字——这种组合在字典里排在第400万位左右，按每秒1000次的解工具尝试速度，大约要等一个小时。密码暴我泡了杯浓茶，力破开始刷手机。解工具这就是密码暴暴力破解的常态：大部分时间都在等待，偶尔撞大运。力破

说白了，解工具暴力破解没什么技术含量。密码暴它不像SQL注入那样讲究技巧，力破也不像社会工程学需要演技。解工具工具就摆在那里——Hydra、Medusa、John the Ripper，甚至浏览器自带的开发者工具都能客串一把。你只需要一个字典文件，然后按回车，剩下的交给时间。可偏偏就是这么笨的办法，每年还是能拿下无数系统。为什么？因为人的密码习惯太 predictable 了。我见过某公司高管把生日、手机尾号和“520”排列组合出六个不同密码，结果全在同一个字典里躺着。

真正让暴力破解变得可怕的，不是算法多聪明，而是算力太便宜了。我去年帮朋友测试一个电商站，用云服务器开了台GPU实例，跑一个8位纯数字的MD5哈希表，连十分钟都没用上。更别提现在有人拿显卡阵列专门跑密码，一台普通游戏本就能达到每秒几亿次哈希计算。密码学上的“暴力”早就不是字面意思的蛮力，而是硅晶圆上的闪电战。

但工具本身是无辜的。Hydra的GitHub页面上写着“仅用于授权测试”，可谁都知道，下载它的人里有一半没读过这句话。有一次我在技术群里看人求助，说“某平台密码忘了，能不能帮我跑一下”——底下还真有人回复推荐字典。这种灰色地带的日常，才是暴力破解工具真正活跃的土壤。它像一把万能钥匙，既能帮锁匠开锁，也能被小偷揣进兜里。

防御这边呢？加验证码、限制尝试次数、双因素认证，这些措施确实能挡住大部分脚本小子。可道高一尺魔高一丈，攻击者开始用分布式代理绕过IP限制，用慢速扫描躲过日志告警，甚至直接买通内鬼拿到哈希值再离线破解。我见过最骚的操作是有人用验证码识别API，把登录接口的滑块验证给自动过了——那哥们儿在帖子里轻描淡写地说“调了个第三方接口，花了五块钱”。

写这篇东西的时候，我电脑后台还挂着一个字典在跑自家路由器的管理后台——纯粹为了确认出厂默认密码有没有改。结果跑了半小时，出来一串“admin888”。我叹了口气，既庆幸自己没被黑过，又替那些把路由器密码设成“12345678”的邻居们捏把汗。暴力破解从来不是高深的技术，它只是照出了人类懒惰的镜子。你永远不知道下一个被破解的密码，是不是你自己图省事设的那个。