内容摘要：肩窥不需要任何技术。站在你身后，稍微歪一下头，就能看到屏幕上的内容。地铁上、咖啡厅里、排队等奶茶的时候，这种事每天都在发生。我见过最离谱的一次是在高铁上，前排大哥输入银行卡密码，后面一排至少三个人在看

肩窥不需要任何技术。肩窥站在你身后，字典稍微歪一下头，破解破解就能看到屏幕上的暴力内容。地铁上、肩窥咖啡厅里、字典排队等奶茶的破解破解时候，这种事每天都在发生。暴力我见过最离谱的肩窥一次是在高铁上，前排大哥输入银行卡密码，字典后面一排至少三个人在看他操作，破解破解他自己完全没感觉。暴力

肩窥之所以有效，肩窥是字典因为人天生对屏幕有注意力偏向。你手机一亮，破解破解旁边人的余光就会被吸过去。这不是什么意志力问题，是视觉系统的本能反应。所以别指望"我小心一点就行"，物理遮挡才是正经办法。防窥膜这东西不算智商税，它把可视角度压到30度以内，侧面看过去就是一片黑。代价是屏幕亮度打折扣，自己看着也累。但如果你经常在公共场合处理敏感信息，这笔账划得来。

密码输入框还有个细节：大多数人输密码时手指动作幅度很大，每个键位几乎都能被旁边人通过手指位移判断出来。尤其用九宫格键盘的时候，手指从哪个方向滑到哪个方向，清清楚楚。真正在意安全的人会用全键盘加随机打乱布局，但说实话，这样自己也容易输错。

字典破解是另一条路。它不猜你有多聪明，它赌你有多懒。

所谓字典，就是一份高频密码列表。RockYou泄露事件之后，那份包含1400万条明文密码的字典成了安全圈的"圣经"。你会发现排名前几的永远是123456、password、abc123这种。很多人觉得加点数字和符号就安全了，于是有了password1、abc123!这种变体。字典攻击工具比如Hashcat，会把这些规则编进去——大写首字母、末尾加数字、字母替换成符号（a换成@，o换成0），组合出来的候选空间比你想象的大得多。

我拿自己的一个旧账号做过测试。密码是某个英文单词加生日，自以为够复杂了。用Hashcat配合规则字典跑，四分钟出结果。那台机器还只是普通笔记本的配置。后来我改用密码管理器生成随机字符串，二十位以上，大小写数字符号全混。不是我变勤快了，是我意识到自己那点"创意"在字典面前根本不值一提。

暴力破解听起来更粗暴，就是穷举所有可能性。但它有个致命问题：长度。每多一位字符，组合数就指数级增长。八位纯数字，十的八次方，一亿种可能，现代显卡几秒钟跑完。八位大小写字母加数字，六十二的八次方，大约两万亿种，时间就上来了。再加符号，再加长度，成本高到不划算。

所以暴力破解的实际策略是混合式。先用字典跑一遍，再用规则变形跑一遍，剩下的才交给纯暴力。真正对抗暴力破解的不是密码有多"怪"，而是有多"长"。长度是硬门槛，复杂度只是锦上添花。一个十六位的纯小写字母密码，破解难度远高于八位的混合字符密码。这点跟很多人的直觉相反。

在线服务和离线场景完全是两码事。在线登录有速率限制，试错几次就锁账号，暴力破解基本没戏。但如果是数据库泄露、拿到密码哈希之后离线破解，那就没有任何限制了，想跑多快跑多快。所以别以为"网站会锁我账号所以我密码简单点没关系"——泄露之后锁不锁已经不由网站说了算。

这三个东西放在一起看，逻辑链条很清楚：肩窥拿的是明文，字典和暴力破解拿的是哈希。前者靠物理防范，后者靠密码本身的强度。而大多数人在这两条线上同时失守——公共场合不遮屏幕，密码又用生日加名字。攻击者根本不需要多高的技术水平，站对位置、跑对字典，就够了。