相比暴力攻击 字典攻击的缺点是

暴力攻击能在一小时内试完所有八位纯数字密码，相比字典攻击得跑三天。暴力这个差距不是攻击攻击工具好坏的问题，是字典字典本身的天花板压在那里。

我拿一台普通笔记本做过实验。缺点用Hashcat跑纯数字八位密码的相比暴力破解，速度稳定在每秒二十亿次哈希计算。暴力换成RockYou字典，攻击攻击一万四千条常用密码，字典跑完只用了几毫秒。缺点可一旦目标密码不在字典里，相比字典攻击立刻变成废物——它连尝试的暴力机会都没有。暴力攻击至少还能靠时间堆，攻击攻击字典攻击连堆的字典资格都没有。

字典攻击的缺点命中率完全依赖字典质量。你收集的泄露密码库越全，命中概率越高。但现实是，很多人改密码的习惯很刁钻。比如把 password 改成 p@ssw0rd，或者加个年份后缀 password2024。基础字典里没有这些变体，你得靠规则引擎去变形。规则写得好，能覆盖一部分；规则写不好，漏掉就是漏掉。暴力攻击不挑食，字符集里有的它全试，字典攻击只认你喂给它的那几万、几百万条候选。

另一个麻烦是字典的体积和速度成反比。我见过有人用几十GB的超级字典，里面塞了各种泄露库、语言词表、键盘模式。跑起来慢得离谱，因为每一条候选都要做一次哈希比对。暴力攻击虽然总空间大，但它是顺序枚举，GPU可以高度并行优化。字典攻击的候选长度参差不齐，短的几位，长的几十位，哈希计算没法完全流水线化。同样一张显卡，跑暴力攻击能满负荷，跑大字典反而掉速。

还有一点常被忽略：字典攻击对“非人类密码”几乎无效。随机生成的十六位密码，比如 xT9#mK2$pLq8@wZ，字典里不可能有。暴力攻击理论上能覆盖，只是时间以亿年计。但字典攻击连理论上的可能性都没有——它压根不会生成这个候选。所以安全圈有个说法：字典攻击是“聪明人的笨办法”，暴力攻击是“笨人的笨办法”。前者靠先验知识走捷径，捷径走不通就彻底卡死。

我自己的判断是，字典攻击适合快速筛查弱密码，适合渗透测试初期碰运气。真要保证覆盖率，最终还得回到暴力攻击或者掩码攻击。掩码攻击其实是两者的杂交——你告诉工具密码可能是“四个小写字母加两个数字”，它就只枚举这个模式。比纯暴力快，比字典灵活。但掩码需要你知道密码结构，不知道结构就只能硬跑。

所以字典攻击的缺点很直白：覆盖率有硬上限，字典外的一个都碰不到。速度受字典体积拖累，大字典反而慢。对随机密码完全无能为力。它是个好用的辅助手段，但别指望它当主力。真正要破一个未知结构的密码，暴力攻击或者掩码攻击才是正路。字典？那是给懒人准备的捷径，捷径往往走不远。