```html

网页密码怎么破解

上周帮朋友恢复一个旧论坛账号，他忘了密码。密码我打开浏览器开发者工具，破解在登录页的网页 <input type="password"> 上右键选择“编辑为HTML”，把 type="password" 改成 type="text"。密码密码框里的破解星号瞬间变成了明文——qwerty123。朋友瞪大眼睛：“就这么简单？网页” 是的，如果网站只做了前端掩码，密码没做后端校验，破解那所谓的网页“破解”不过是改一行属性。

但这只是密码最表层的情况。真正意义上的破解网页密码“破解”，得看密码存在哪、网页怎么传、密码怎么验。破解我见过太多人把“破解”想象成电影里那种满屏绿色代码滚动的场景，实际上多数时候你面对的是哈希值、加密流量，或者一个配置失误的数据库。

先说说最常见的场景：你有一个网站的用户名，想拿到密码。如果网站用 MD5 或 SHA1 存密码（不加盐），那攻击者拿到数据库后直接查彩虹表就行。我2016年做过一个实验，从某小论坛拖下来的库里有3万条记录，用 hashcat 跑 rockyou.txt 字典，不到20分钟出结果的有1.2万条。密码分布很集中：123456、password、iloveyou、admin888。这不是“破解”，这是“撞库”——用已知的哈希去匹配预计算的表。

加盐之后难度陡增。盐就是随机字符串，拼在密码前后再哈希。比如 md5($salt . $password)。这时候彩虹表失效，你得为每个盐单独算。但很多老系统用的盐是固定值，比如 md5("mysite" . $password)，那还是有办法。我见过一个电商站，盐就是域名，攻击者写个脚本遍历常见密码，几小时能跑完一个中等规模的库。

另一种路子是抓包。如果网站用 HTTP 而不是 HTTPS，登录请求里的密码就是明文。你在咖啡厅连同一个 WiFi，开 Wireshark 抓包，过滤 http.request.method == "POST"，找到 password= 后面的内容。我去年在一家青旅就这么干过——当然只是测试自己的账号。结果发现他们的登录接口居然把密码放在 URL 参数里，GET /login?user=test&pass=123456。服务器日志里全是明文密码，运维要是看一眼日志，整个网站的用户密码就全暴露了。

那 HTTPS 呢？流量加密了，但如果你能控制客户端，比如在浏览器里装个自签名证书，或者用 mitmproxy 做中间人，照样能解密。前提是用户点了“继续访问不安全站点”。很多人会点。我统计过公司内部的一次钓鱼测试，40% 的人会忽略证书警告。

还有一种被低估的方法：密码重置逻辑漏洞。比如重置链接里的 token 是 md5(email)，或者验证码是4位数字且不限制尝试次数。我遇到过一个站，重置密码时先发验证码到邮箱，然后前端把验证码存在 localStorage 里，提交时对比。直接改 localStorage 就能绕过。这算破解吗？算，因为它拿到了别人的密码。

如果你是想找回自己的密码，别折腾破解。直接点“忘记密码”。如果网站连重置功能都没有，那它大概率也不值得你继续用。我见过一个博客系统，密码用 base64 编码存在 cookie 里，解码就是明文。这种站趁早弃了，数据指不定被卖了多少回。

最后说个真事。有次我审计一个内部系统，发现登录接口返回的 JSON 里居然带了一个 debug 字段，里面是 SELECT * FROM users WHERE username='admin' 的查询结果，包括密码哈希。开发忘了关调试模式。我没用任何破解工具，只是按了 F12 看网络请求。密码就在响应体里躺着。所以你看，很多时候“破解”靠的不是算力，是细心。

网页密码的安全性，七分靠后端，三分靠前端。前端那点掩码、禁用右键、禁止查看源码，都是心理安慰。真正的防线是：加盐哈希、HTTPS、限制尝试次数、重置 token 一次性且随机。做不到这些，破解就只是时间问题。

```

本文地址：http://www.79wt.cn/news/1564c1099833.html