内容摘要：去年冬天，一个做运维的朋友半夜给我打电话，说公司测试服务器被人扫了。不是零日漏洞，不是APT攻击，就是最原始的SSH暴力破解。对方用的是一个不到200KB的字典文件，里面整整齐齐躺着几万条用户名密码组

去年冬天，暴力一个做运维的破解朋友半夜给我打电话，说公司测试服务器被人扫了。密码不是字典零日漏洞，不是下载APT攻击，就是暴力最原始的SSH暴力破解。对方用的破解是一个不到200KB的字典文件，里面整整齐齐躺着几万条用户名密码组合。密码他说：“我他妈设的字典密码是Admin@2023，居然也在里面。下载”

这事让我意识到一个问题：大多数人根本不知道暴力破解字典长什么样，暴力更不知道它们从哪来、破解怎么用。密码网上搜“密码字典下载”，字典跳出来的下载结果鱼龙混杂，有的要注册，有的带木马，真正能用的没几个。我花了几个晚上翻了GitHub、Telegram群组和一些老牌安全论坛，把这事摸了个大概。

字典不是“随机生成”，它是人类懒的合集

很多人以为暴力破解字典是程序随机吐出来的字符串。不是。最有效的字典恰恰是最“人性化”的。排名靠前的密码永远是123456、password、qwerty、iloveyou。2019年NCSC（英国国家网络安全中心）分析泄露数据库发现，全球使用量第一的密码是123456，有2300万次。第二是123456789，第三是qwerty。你随便打开一个叫rockyou.txt的字典——这个文件2009年从RockYou公司泄露事件中提取，至今仍是渗透测试标配——前100行你就能看到这些老熟人。

但光有弱密码不够。真正让字典变得危险的是“变形规则”。Hashcat和John the Ripper这类工具支持规则引擎，比如把password变成P@ssw0rd、password123、Password!、p4ssw0rd。我见过一个规则文件，能把一个基础词扩展出300多种变体。你设的“公司名+年份+感叹号”，在规则引擎面前就是一层纸。

去哪找，以及别踩的坑

GitHub上搜“wordlist”或“password dictionary”，能出来一堆仓库。比较靠谱的有SecLists，这个项目把字典按用途分类：用户名、密码、URL、敏感目录。另一个是Weakpass，专门收集各种泄露事件中提取的字典，更新频率高，还提供按语言和长度筛选。如果你只想快速测试，Kali Linux自带/usr/share/wordlists/目录，rockyou.txt.gz解压就能用。

但下载字典这事有个悖论：你从不可信来源下载的字典，本身可能就是攻击载体。我见过一个伪装成“10亿密码合集”的压缩包，解压后是个exe，运行就中招。安全圈有句话：下字典之前，先看看上传者的历史记录。Telegram上那些“独家字典”群组，十有八九是钓鱼。

字典只是原料，怎么用才是关键

拿到字典不等于能破。SSH在线爆破每秒最多试几十次，服务器还有fail2ban。真正有效的是离线攻击——拿到shadow文件或数据库哈希后，用Hashcat配合GPU跑。一张RTX 4090每秒能算几十亿次MD5。这时候字典的质量比数量重要。一个精心构造的10万条字典，比随机拼凑的1000万条更管用。我自己的习惯是：先用top1000快速筛，再用规则引擎扩展，最后才上大字典。

说到底，暴力破解字典下载这件事，本质是信息安全里最基础也最容易被忽视的一环。你不需要成为黑客才能理解它。你只需要知道：你设的密码，很可能已经在某个字典文件的第4372行等着了。