网页登录密码破解工具

去年秋天，网页我帮一个朋友检查他的登录WordPress站点。他坚称密码足够复杂——16位，密码大小写加数字加符号。破解我打开Burp Suite，工具挂上rockyou.txt，网页不到四十分钟，登录密码出现在屏幕上。密码他愣住了。破解那个密码是工具他家猫的名字加生日，再在前面补了个"!@#"。网页

这件事说明一个问题：大多数人理解的登录"复杂密码"，在自动化工具面前撑不了多久。密码

工具在做什么

网页登录密码破解，破解本质上是工具向登录接口反复提交凭据组合，观察返回结果。听起来笨，但配合好的字典和规则引擎，效率高得吓人。

Hydra是最常用的工具之一。一条命令：hydra -l admin -P pass.txt target.com http-post-form "/login:user=^USER^&pass=^PASS^:F=incorrect"，它就会拿着字典里的每一行去试。返回页面里出现"incorrect"就跳过，没出现就说明撞对了。简单粗暴。

Burp Suite的Intruder模块更灵活。你把请求截下来，标记密码字段为payload位置，加载字典，设置线程数，点开始。它还能根据响应长度、状态码、响应时间来区分成功和失败——有些站点登录失败返回200，成功返回302，肉眼看不出来，Burp一眼就标出来了。

还有更轻量的。Patator用Python写的，模块化设计，支持FTP、SSH、HTTP等多种协议。有人喜欢它的原因是输出干净，不会像Hydra那样刷屏。

字典才是关键

工具本身不复杂，复杂的是字典。

rockyou.txt是个老牌字典，包含1400多万条泄露密码。很多人直接用这个，命中率不低。但真正有效的做法是根据目标信息定制字典。比如你知道目标叫张伟，生日1990年3月，那就可以用CUPP生成一份专属字典：zhangwei1990、zw199003、zhangwei0310、zw@1990……几百条组合，比几千万条通用字典更精准。

规则引擎也重要。HashCat的规则可以把"password"变形为"P@ssw0rd"、"password123"、"drowssap"等几十种变体。John the Ripper的--rules参数做同样的事。很多人密码看着复杂，其实只是在基础词上套了一层可预测的变形。

防御不是加个验证码就完了

我见过不少站点，登录失败五次弹验证码。这挡得住Hydra的默认配置，但挡不住带session处理的脚本。攻击者先正常登录五次，拿到cookie，再带着cookie继续跑，验证码就形同虚设。

真正有效的措施是组合拳。登录失败延迟响应——每次失败后sleep 2秒，Hydra的并发优势直接废掉。账户锁定策略——连续失败十次锁半小时，字典再大也没用。IP限速——同一IP每分钟最多请求登录接口20次。再加上双因素认证，密码就算被撞对了，没有第二因子照样进不去。

还有个容易被忽略的点：登录接口的错误提示。如果失败时返回"用户名不存在"和"密码错误"两种不同消息，攻击者就能先枚举出有效用户名，再针对性破解。统一返回"用户名或密码错误"是最基本的。

说点实际的

我自己做渗透测试时，遇到登录框先不急着跑字典。先看有没有SQL注入，有没有逻辑漏洞——比如修改返回包里的authenticated: false为true，或者直接访问后台页面看有没有越权。密码破解是最后的手段，因为动静大、耗时长。

但作为防御方，你必须假设攻击者会走到这一步。密码策略、限速、锁定、双因素，四层缺一不可。别指望用户会自觉设置强密码——他们不会。你只能在系统层面兜底。

那个WordPress站点的朋友后来换了密码管理器，所有站点随机20位。他说记不住，但再也没被撞开过。