网站后台密码破解工具

2023年夏天，网站某安全团队做了一次内部演练：用Hashcat对一台旧服务器上抓取的后台NTLM哈希进行爆破，8位纯数字密码平均耗时不到4分钟。密码这个速度放在十年前不可想象，破解但今天一台带RTX 4090的工具普通台式机就能做到。密码破解工具早就不是网站电影里那种绿字黑屏的炫技道具，它成了一种基础设施——攻击者用它，后台安全审计员也用它。密码

最常见的破解入口是John the Ripper和Hashcat。前者1996年诞生，工具最初为Unix系统设计，网站现在能处理上百种哈希格式。后台后者2010年发布，密码靠GPU并行计算把速度拉高几个数量级。破解我见过一个真实案例：某公司内网论坛的工具MD5密码库泄露，管理员觉得“MD5加盐了，问题不大”。结果攻击者用Hashcat的字典模式配合规则引擎，两小时跑出37%的明文密码。加盐确实增加了难度，但弱密码加盐之后依然是弱密码。

工具本身不区分合法与非法。渗透测试人员拿到授权后，用Burp Suite的Intruder模块对登录接口做撞库测试，或者用Hydra对SSH、FTP、RDP做在线爆破。区别在于，攻击者没有授权，而且他们更懂“社会工程学字典”。我翻过几个公开的弱密码字典，里面全是“公司名+年份”“姓名拼音+123”“admin@2024”这类组合。这些不是随机字符串，是从真实泄露事件里提炼出来的模式。

在线破解和离线破解是两条路。在线破解受限于网络延迟、账户锁定策略、验证码，速度慢但直接拿权限。离线破解拿到哈希后本地跑，速度取决于算力。去年有个客户让我评估他们的域控密码策略，我抓了域内所有用户的NTLM哈希，用一台双路EPYC服务器跑Hashcat。最长的一个密码14位，包含大小写和符号，跑了六天没出结果。但同一个域里，有11个用户的密码是“Password1”的变体，比如“Password2”“Password1!”——这些在字典攻击面前撑不过三秒。

防御方也在进化。Windows的LSA保护、Credential Guard、Linux的yescrypt，都在拉高离线破解的成本。但很多系统还在用MD5、SHA1甚至明文存储密码。我见过一个电商后台，数据库里密码字段直接存明文，管理员说“方便客服帮用户查密码”。这种设计等于把钥匙插在锁上还贴了张纸条。

工具的门槛在降低。GitHub上搜“password cracker”，能翻出几百个Python脚本，有些带图形界面，点几下就能跑。Kali Linux预装了二十多种相关工具，从CeWL（爬取网站生成字典）到Crunch（自定义规则生成字典）。一个脚本小子可能不懂哈希算法原理，但他知道去哪个论坛下载最新泄露的字典包。

最后说一个细节。Hashcat支持一种叫“掩码攻击”的模式，比如知道密码是“?u?l?l?l?d?d?d?d”格式（首字母大写、中间三个小写、后四位数字），它就能按这个规则穷举。我试过用这个模式跑一个八位密码，规则是“大写+小写+小写+小写+数字+数字+数字+数字”，RTX 4090每秒能算约1200亿次组合，全部跑完需要不到两小时。而人类设置密码时，超过60%的人会遵循类似的“单词+数字”模式。工具比你更懂你的习惯。