内容摘要：2017年，我拿到一台旧路由器。管理员密码忘了，试了生日、手机号、门牌号，全错。最后下载了个字典文件，三秒后密码弹出来：`qwe123!@#`。那一刻我意识到，所谓安全，在字典面前就是个笑话。 暴力字

2017年，暴力我拿到一台旧路由器。字典管理员密码忘了，破解试了生日、暴力手机号、字典门牌号，破解全错。暴力最后下载了个字典文件，字典三秒后密码弹出来：`qwe123!@#`。破解那一刻我意识到，暴力所谓安全，字典在字典面前就是破解个笑话。

暴力字典破解不复杂。暴力它拿一个预设的字典密码列表，挨个试。破解列表哪来的？早年间各种网站泄露的数据库，黑客整理成册，再配合常见弱密码、键盘序列、拼音缩写，堆成几GB的txt文件。你以为自己设的密码独一无二，其实早就在某个角落被收录了。

有个朋友在银行做运维，他跟我说过一件事。内部系统要求密码90天换一次，有人嫌麻烦，就在原密码后面加个1。加着加着，变成`Password123!`。这种规律，字典里专门有变异规则，能自动生成几百种变体。你换十次，人家照样能试出来。

真正的暴力破解其实更笨——纯粹穷举所有字符组合。但纯暴力太慢，8位纯数字要跑几小时，加上字母符号可能得几百年。所以实际攻击都用字典，先试人类最可能的选项。就像小偷撬锁，不会拿电钻钻一整面墙，而是先试试钥匙孔里有没有插着备用钥匙。

我见过最离谱的字典攻击，是针对某公司Wi-Fi的。黑客搞到一份该公司员工的工号表，然后用工号+出生年份+特殊符号组合，居然破开了三分之一员工的个人热点密码。密码学再强，架不住人类懒得想。

但字典也不是万能的。有一次我拿专业字典跑一个加密压缩包，跑了整夜没破。后来发现密码是某本冷门小说里的一句话，字典里根本没有。那一刻我反而松了口气——原来对抗字典的最有效方法，是让密码脱离常见模式。

现在很多系统加了锁定机制，试错几次就冻结。但攻击者会换IP、换工具、放慢速度，像温水煮青蛙一样慢慢试。我见过一个真实案例，攻击者用字典配合代理池，每天只试100次，连续试了三个月，最后还真给试出来了——密码是`iloveyou2008`。

别高估自己的创造力。你以为的“随机密码”，不过是把生日倒过来写、把名字拼音换大小写、加个自己最喜欢的数字。这些套路，字典里全都有。真要防住，得靠密码管理器生成真随机串，或者至少用四五个不相关的词拼在一起。

说到底，字典破解破解的不是密码，是人性。人懒、图省事、爱用熟悉的东西——这些弱点比任何加密算法都脆弱。下次设密码时想想：如果有个文件里存着几十亿条你可能的想法，你还有多少把握说“这肯定没人猜得到”？