去年十一月，网站爆破我盯着一个后台登录页看了整整三天。网站爆破目标是网站爆破一家小型电商站，后台路径藏在 `/admin/login.php`，网站爆破页面简陋得像是网站爆破2012年写的。用户名输入框旁边有个提示：“默认账号 admin”。网站爆破密码框下面什么都没有。网站爆破

这就是网站爆破典型的“等爆破”系统。它没有验证码，网站爆破没有登录失败锁定，网站爆破甚至没有延迟。网站爆破我试了五次 `admin/admin`、网站爆破`admin/123456`、网站爆破`admin/password`，网站爆破全错。网站爆破第六次，我挂了 Burp Suite 的 Intruder，字典选了 rockyou.txt 的前两千条。四十七秒后，密码出来了：`admin888`。

网站爆破这件事，外行听起来像黑客电影里的“破解密码”。其实大多数时候，它更像是拿一串钥匙挨个捅锁眼。锁本身没坏，只是主人把备用钥匙藏得太随便了。

为什么爆破总能得手

不是攻击者多厉害，是防守方太懒。我见过一个政府下属单位的 OA 系统，登录接口返回的 JSON 里直接带着 `"is_admin": false`。你只要把 false 改成 true，再重放请求，后台就进去了。连密码都不用猜。还有更离谱的——某次渗透测试，我发现登录失败时返回“用户名不存在”，登录成功但密码错误时返回“密码错误”。这两个提示直接把用户名枚举出来了。先用字典跑一遍用户名，锁定存在的账号，再针对这几个账号跑密码字典。效率提升十倍不止。

弱口令是另一个重灾区。2023 年某安全团队发布的报告里，全球暴露在公网的 RDP 服务中，超过 30% 可以被 `administrator/123456` 或 `admin/admin` 直接登录。这不是技术问题，是人的问题。系统管理员图省事，装完机器不改默认密码。外包开发交付项目，测试账号留着不删。运维人员把数据库密码写在 `config.php` 里，而那个文件可以通过路径遍历直接下载。

工具比人快，但思路比工具重要

Hydra、Medusa、Burp Intruder、ffuf——这些工具用起来都不难。难的是判断目标有没有速率限制，有没有 WAF，有没有行为分析。我试过一个站，用 Hydra 跑 SSH，每秒二十个请求，跑到第三百个的时候 IP 被封了。换代理池，降速到每秒两个，又跑了半小时，密码没出来，但触发了服务器告警。后来换了个思路：去 GitHub 搜这个公司的仓库，在一个废弃的 issue 里找到了运维人员贴的测试环境配置，密码是 `Company@2022`。生产环境用的同一个密码。

工具是锤子，但你要先找到钉子在哪。有人拿着 Hydra 对着一个没有登录接口的静态站跑了一晚上，然后问我为什么没结果。我看了眼他的命令，目标 URL 写的是首页。首页根本没有表单。

防守方的反击

加验证码是最低成本的防御。但验证码不能太弱——我见过用纯数字四位的，OCR 识别率 99%。加登录失败延迟也有用，比如失败一次等两秒，失败三次等三十秒。但很多系统只在前端做延迟，后端接口照样秒回。攻击者直接调接口，前端延迟就是个摆设。

真正有效的方案是组合拳：强密码策略 + 多因素认证 + 登录失败锁定 + 异常行为监控。可惜大部分中小型网站只做了第一条，甚至第一条都没做全。我见过一个系统要求密码必须包含大小写字母、数字和特殊符号，但管理员账号的密码是 `Admin@123`。字典里排前一百。

网站爆破不会消失，因为总有人把钥匙藏在门垫下面。你要做的不是祈祷没人来试，而是把锁换好，再把门垫扔了。