去年冬天，破解一个做外贸的网站朋友半夜给我打电话，说他的密码独立站后台被人登进去了，订单数据被改得乱七八糟。破解他问我：“是网站不是有人破解了我的密码？”我让他先别慌，登进去看看登录日志。密码结果发现，破解攻击者压根没破解什么密码——他用的网站密码是admin123，而网站后台的密码登录地址就写在网页源代码的注释里。这事跟“破解”没半点关系，破解纯粹是网站门没锁。

很多人脑子里“破解密码”的密码画面，是破解电影里那种黑底绿字、疯狂滚动的网站代码，或者一个黑客对着键盘狂敲，密码几秒钟后屏幕弹出“ACCESS GRANTED”。现实里，绝大多数所谓的密码破解，靠的是三样东西：猜、撞、骗。技术含量有高有低，但核心逻辑就这仨。

猜：字典和规则

你设密码的时候，是不是觉得加个生日、换个!结尾就挺安全了？攻击者手里有一份“字典”，里面装着几十亿条常见密码、泄露过的密码、英文单词、拼音组合。然后他们用工具（比如Hashcat）按规则变形：首字母大写、末尾加数字、把a换成@。你那个Password1!，在字典里排前一百。

我见过一个案例，某公司内部系统被撞库，攻击者用的字典只有800MB，里面全是国内网民常用的弱密码。结果一个小时不到，两百多个账号被登进去。不是技术多强，是大家的密码太像了。

撞：撞库和暴力

撞库更省事。你在A网站注册的邮箱和密码泄露了，攻击者拿这套去B网站、C网站试。很多人所有网站用同一个密码，一撞一个准。2019年有个叫“Collection #1”的泄露数据集，包含7.7亿个邮箱和密码，后来被人做成自动化工具，每天撞几百万次。你觉得自己密码复杂？架不住你在某个小论坛注册过，而那论坛数据库被人拖了。

暴力破解则是另一种笨办法。比如一个四位纯数字密码，从0000试到9999，一万次，普通电脑几秒钟的事。六位字母加数字，理论上要试几十亿次，但用GPU集群跑，几天也能跑完。所以现在网站都强制你设长密码，不是为了难为你，是为了让暴力破解的成本高到不划算。

骗：钓鱼和中间人

技术再强，不如直接问你。我收到过一封邮件，发件人显示“IT支持”，说系统升级需要验证密码，点进去是一个和公司登录页一模一样的假页面。我填了假密码提交，页面转圈，然后跳回真登录页。整个过程不到十秒。这种叫钓鱼，跟破解没关系，但成功率比暴力破解高一百倍。

还有中间人攻击。你在咖啡厅连了免费WiFi，攻击者伪造一个同名热点，你连上后访问任何网站，他都能截获你的登录请求。如果网站没用HTTPS，你的密码就是明文传输，跟写在明信片上寄出去一样。

那网站自己呢？

很多时候，问题出在网站那边。数据库里存密码，如果用的是MD5或者SHA1这种老哈希算法，攻击者拿到数据库后，用彩虹表一查就出明文。更离谱的是存明文密码——我见过一个后台，数据库里密码字段直接写着123456。这种网站，你设再复杂的密码也没用，人家直接从数据库里读。

还有一种叫SQL注入。登录框里输入' OR '1'='1，如果网站没做过滤，直接拼SQL语句，你就能绕过密码登录。这招二十年前就有人用，现在还有网站在犯。

说点实在的

别用同一个密码。重要账号（邮箱、银行、主站后台）单独设一个，用密码管理器生成随机字符串。开启两步验证，就算密码被撞了，攻击者还得过手机验证码那关。网站后台别用默认路径，/admin改成别的。登录失败次数限制，超过五次锁十分钟，暴力破解直接废掉。

至于“破解”本身，大多数时候不是技术问题，是人的问题。你图省事，攻击者就省事。你认真一点，他们的成本就高一大截。那个外贸朋友后来换了16位随机密码，开了两步验证，后台路径也改了。他说现在睡觉踏实多了。