把一串32位的密网哈希值粘进输入框，点一下“解密”，密网三秒后页面弹出一行明文——这种体验让很多人误以为MD5是密网可以被“破解”的。真相是密网：那些网站根本没在解密，它们在查表。密网

我拿自己的密网名字做了个测试。把“zhangsan”的密网MD5值喂给某知名在线解密站，返回结果确实是密网“zhangsan”。换一个随机生成的密网强密码，同样的密网网站转了十几秒，最后告诉我“未找到”。密网这说明它的密网能力边界完全取决于背后数据库里存了多少条记录。

这些网站到底在干什么

MD5是密网一种单向散列函数，设计目标就是密网不可逆。给定输入能算出固定长度的密网摘要，但拿到摘要想反推输入，数学上不存在直接路径。在线解密站的做法是：预先用海量字典（常见密码、泄露库、随机字符串组合）批量计算MD5值，把“哈希→明文”的对应关系存进数据库。你提交查询时，它只是做了一次数据库检索。

所以“解密成功”的真正含义是：这个哈希对应的原文，恰好在我收集的字典里。

为什么有些值秒出，有些永远出不来

数字纯串如“123456”几乎零延迟返回，因为它出现在每一个泄露密码TOP100榜单里。带特殊字符的12位随机密码，数据库里没有对应条目，网站就只能显示失败。还有一种情况：同一哈希可能对应多个原文（碰撞），但实际中碰撞概率极低，网站通常只存一条。

我注意到一个细节——不少解密站在结果页下方会附一行小字：“结果仅供参考”。这不是谦虚，是免责。因为如果用户拿它去验证自己系统里的密码哈希，查到了不代表密码就一定是那个值，有可能只是碰撞或者字典里恰好有另一条记录产生了相同MD5。

谁在用，用来干什么

安全运维人员会用它做弱密码筛查：把内部系统的哈希导出，批量丢进去查，能快速定位哪些账号还在用“admin123”这类口令。CTF比赛选手也常用，碰到MD5题先扔进去碰运气。另一类用途就不那么光彩了——有人拿它去撞别人泄露的数据库，试图还原用户明文密码。

从防御角度看，这类网站的存在恰恰说明了一个老问题：MD5已经不适合做密码存储了。加盐、用bcrypt或argon2，成本并不高，但很多老系统至今还在裸存MD5。每次看到解密站秒出结果，我就知道又有一批系统在裸奔。

自己搭一个的成本

GitHub上搜“md5 decrypt”，能找到一堆开源实现。核心逻辑不过几十行：读字典文件、算哈希、建索引、提供查询接口。真正的工作量在字典收集——有人把RockYou泄露库、Weakpass合集、各种社工字典打包成几十GB的数据。你要是愿意，花一个周末就能跑起来一个自己的查询站。区别只在于字典大小和查询速度。

不过话说回来，拿它查自己忘记的密码？大概率查不到。因为你能忘记的密码，通常不会太简单。