凌晨两点，暴力我盯着屏幕上的破解登录框，手边是网站一杯凉透的咖啡。这不是密码电影里的黑客场景，而是暴力我帮朋友找回他前公司邮箱密码的夜晚。他离职时被要求“主动”交出密码，破解但那个邮箱里存着他三年来的网站客户往来记录——他需要这些证据去劳动仲裁。

暴力破解，密码说白了就是暴力拿字典反复试。不是破解你想的那种“123456”挨个敲，而是网站用工具把几亿条常用密码组合自动提交。我用的密码工具叫Hydra，开源免费，暴力GitHub上随便下。破解设置好目标URL，网站载入一个2GB的密码字典，剩下的事就是等。

速度取决于目标服务器的防护。没做限制的站点，每秒能试几十次；加了验证码或锁定机制的，就得换思路。朋友的旧公司用的是普通办公系统，没有二次验证，也没有失败次数锁定。这让我有点意外——一家做金融外包的公司，安全防护居然如此粗糙。

三个小时后，字典跑到了“Z”开头的区间。屏幕上突然跳出绿色高亮：密码是“Zhang2021!”。那一刻我没什么成就感，反而觉得荒谬。这个密码是他前同事的工号加出生年份加感叹号，规律明显到像在门上贴了钥匙。

暴力破解的核心不是技术，是人性。人们总爱用容易记的密码，而容易记的密码往往也容易被猜中。我见过用“P@ssw0rd”的公司高管，见过用“iloveyou”的大学教授，最离谱的是有人把密码设成“correcthorsebatterystaple”——他以为长密码就安全，却忘了这句谚语出自XKCD漫画，早被收录进主流密码字典。

真正的防护其实很便宜。加个验证码，限制五次失败就锁定，强制要求12位以上混合字符，这些基础措施能挡住99%的暴力破解。但现实中，很多小企业连HTTPS都没配全，更别提安全策略了。朋友那家公司后来被查了，不是因为密码漏洞，而是因为非法经营——你看，有时漏洞根本不需要被攻击，它本身就烂透了。

那晚之后，我把朋友的邮箱密码改了，设成一段随机生成的32位字符，存在密码管理器里。他问我为什么要这么麻烦，我说：“你前公司那种安全水平，就像把保险柜放在公共厕所里，锁不锁其实无所谓，但至少别让路过的人觉得你好欺负。”

暴力破解是场不对等的博弈。攻击者只需要一个漏洞，防守者却要堵住所有缺口。但讽刺的是，多数成功破解靠的不是高超技术，而是人类懒得设好密码的惰性。下次你输入密码时，如果它包含生日、姓名拼音或键盘顺序，恭喜你——你正在给某个黑客发邀请函。