去年冬天，线暴一个做安全审计的力破朋友给我发来一张截图。某论坛的解压“资源区”里，有人贴出一个百度网盘链接，缩包配文只有四个字：“密码是线暴生日。”底下跟了二十多页回复，力破全是解压“楼主好人”。朋友说，缩包他随手写了个脚本，线暴把那个压缩包拖进字典里跑了三分钟，力破密码出来了——19980312。解压压缩包里是缩包某公司未公开的财务报表。

这事听起来像电影桥段，线暴但它每天都在发生。力破在线暴力破解压缩包，解压说白了就是利用服务器端的解压接口，把密码猜测的算力从本地转移到目标网站上。本地跑字典，你的CPU和带宽是瓶颈；在线跑，瓶颈变成对方的服务器响应速度和你的并发策略。有人专门写工具，把密码列表拆成小块，用多线程往上传，一个请求试一个密码，返回码不同就说明中了。

我试过一个开源工具，叫“压缩包爆破机”，界面简陋得像九十年代的共享软件。导入字典文件，填入目标URL，设置线程数，点开始。屏幕上滚动的日志里，密码一个个被排除。第一次跑的时候我盯着看了十分钟，觉得这效率还不如手动猜。后来把线程从10调到200，速度立刻不一样了。服务器没做频率限制，每个请求都在毫秒级返回“密码错误”。

真正让我意外的是字典的威力。很多人以为暴力破解就是穷举所有字符组合，那是理论上的事。实际攻击者用的字典，是从历年泄露的密码库里提炼出来的。RockYou泄露的1400万条密码，加上国内某社交平台泄露的千万级数据，合并去重后，命中率能到30%以上。生日、手机号、姓名拼音、简单数字序列，这些占了大头。一个叫“弱密码猎人”的脚本，甚至能根据目标网站的用户名，自动生成针对性的变体——比如用户名是zhangsan，字典里就会加zhangsan123、zhangsan1990、zs@1990。

在线破解的隐蔽性比本地差。本地跑，没人知道你试了多少次；在线跑，服务器日志里全是你的IP。所以攻击者通常挂代理池，一个请求换一个IP。有次我抓包看一个破解过程，两分钟内换了四百多个代理，从巴西到越南，从美国到乌克兰。代理池的成本很低，网上有按量计费的，一万个IP几块钱。相比之下，本地跑字典要买显卡，要交电费，要等时间。在线破解反而成了“轻资产”操作。

防御手段其实不复杂。服务器端对解压接口做频率限制，同一个IP一分钟内超过五次就封禁；或者干脆不在线解压，让用户下载到本地再输入密码。但很多网站为了用户体验，把解压放在服务端做，返回“密码错误”或“解压成功”两个状态。这个状态差异就是漏洞。更隐蔽的做法是，无论密码对错都返回同样的提示，但解压成功时偷偷把文件存到某个临时目录。攻击者通过响应时间差或者文件大小变化来判断。这种侧信道攻击，防起来更麻烦。

我那个朋友后来把这事写成了报告，发给了那家公司的安全部门。对方回了一封邮件，说“已修复”。怎么修的？把在线解压功能下线了。用户想解压，自己下载回去解。简单粗暴，但有效。有时候安全问题的解法就这么无聊——把功能砍掉，攻击面就没了。可大多数产品经理不愿意砍功能，他们觉得“用户体验”比“安全”重要。直到数据泄露上了新闻，才想起来补漏。

写这些不是教人破解。我是觉得，很多人对压缩包密码有种盲目的信任。以为设了密码就安全了，其实密码强度不够，在线破解比想象中容易得多。下次你设压缩包密码的时候，试试用一句你记得住但别人猜不到的话，比如“楼下煎饼果子加俩蛋”。别用生日。真的。