网站密码爆破工具

凌晨两点，网站我盯着终端里滚动的密码字符，一个叫`hydra`的爆破工具正以每秒三百次的频率撞击某个测试站点的登录接口。第八分钟时，工具屏幕上跳出`password: summer2024`——管理员把年份和季节拼在一起，网站连大小写都没换。密码这活儿根本不需要什么天赋，爆破工具够快，工具字典够全，网站剩下的密码交给时间。

爆破工具的爆破原理简单到令人不安。它不搞什么高深漏洞，工具就是网站反复试。拿`Burp Suite`的密码Intruder模块来说，抓个登录包，爆破标记密码字段，加载一份十万行的字典，开跑。有人觉得这像开保险柜，其实更像拿一把万能钥匙挨个捅锁眼，锁芯松了就开了。

我见过最离谱的一次，是帮朋友审计他公司的后台。管理员密码是`P@ssw0rd`——就是字典里排前二十的那个。爆破用时四秒。朋友脸都绿了，我憋着笑说，要不咱把密码策略改成强制十六位加特殊字符？他说改了怕同事记不住。你看，人永远是系统里最脆弱的环节。

工具本身没啥善恶。`hashcat`能跑GPU加速，八张显卡并排，每秒能试一千亿次哈希。但你拿它跑自己丢的密码哈希，和拿它跑别人数据库泄露的哈希，性质完全不同。区别只在用的人。我电脑里常备这些工具，但九成时间在干正事——测试自己的应用，或者帮客户找薄弱点。

有个细节常被忽略：爆破工具的成功率极大依赖字典质量。网上流传的rockyou.txt有1400万条，但真正管用的其实是那些“人味”重的组合。比如公司名加年份，季节加键盘序列，或者宠物名加数字。我习惯先手工收集目标的社交媒体信息，再生成定制字典——比通用字典效率高十倍不止。这活儿干多了会产生一种奇怪的直觉，看到一个人的生日和网名，就能猜出他密码的大致结构。

防御那边其实也有招。最简单的，登录接口加个延迟，失败五次锁十五分钟，爆破效率直接跌到脚踝。再上点手段，比如Cloudflare的人机验证，或者强制WebAuthn硬件密钥，基本能劝退九成脚本小子。但现实是，很多小站连HTTPS都没配全，更别提这些了。

有次我在咖啡店写脚本，邻座瞥见屏幕上的字符流，问我是不是黑客。我说不是，我是修锁的。他似懂非懂地点点头。其实这行当就这么回事——工具是扳手，知识是图纸，你拿它修水管还是撬门，全看自己怎么想。我见过用爆破工具盗号卖钱的，也见过用它帮老人找回遗忘多年的邮箱密码。工具不背锅，背锅的是手。

写这段文字时，我顺手更新了本地字典库，删掉了一批过时的弱密码，加了最近两年泄露数据里的高频组合。窗外天快亮了，终端还挂着个慢速爆破在跑一个老项目的备份哈希——那是我自己五年前设的密码，早忘了。估计再跑俩小时能出结果。到时候改个长密码，记在密码管理器里，省得下次又得靠工具找回自己。