2016年，基于击一位安全研究员在测试某大型企业内网时，口令发现门禁系统的基于击后台密码是admin/admin。他没费什么力气就进去了，口令然后顺着系统漏洞一路摸到了员工数据库。基于击整个过程不超过十分钟，口令而这家公司花在防火墙和入侵检测系统上的基于击钱，够买一辆保时捷。口令

口令攻击就是基于击这么不讲道理。它不跟你拼技术高低，口令不玩什么0day漏洞，基于击就是口令拿你设置的密码硬试。你设个123456，基于击它就试123456。口令你设个password，基于击它就试password。这玩意儿跟聪明不聪明没关系，纯粹是看你懒不懒。

攻击者的工具早就自动化了。一个叫Hydra的开源工具，能把字典里的上亿条常见密码挨个往你的登录接口上怼。速度有多快？普通家用电脑每秒能试上千次，碰上没做速率限制的系统，一晚上就能把整个rockyou字典库跑完——那是143亿条真实泄露的密码。你要是觉得自己的密码够冷门，不妨先查查自己有没有在历次数据泄露事件里"裸奔"过。

更阴险的是撞库。很多人图省事，所有网站用一个密码。攻击者从A网站偷到你的账号密码，转头就去试B银行的登录接口。你可能会说："我银行密码设得复杂啊。"但问题是，你注册那个小众论坛时用的邮箱，和银行预留的邮箱是同一个。密码不同没关系，攻击者要的只是你的身份信息——用邮箱找回密码，再顺藤摸瓜，一通操作下来，你银行卡里的钱就变成了别人的游戏皮肤。

还有一种更"高级"的玩法叫口令喷洒。它不针对特定用户，而是拿"2024@Abc"这种符合常见复杂度要求的密码，去试整个公司的所有账号。为什么有效？因为安全策略逼着员工三个月改一次密码，大家改来改去，最后都变成了在原有基础上加个数字或符号。你猜怎么着？成功率出奇地高。

我见过最离谱的案例是一家金融机构，他们的运维工程师把核心系统的密码写在便签纸上，贴在显示器边框。问其原因，答曰："密码32位随机字符，记不住。"后来这哥们儿离职了，下家接手时发现密码还是那个密码——因为没人记得改。整个系统裸奔了三年，居然没出事，纯粹是运气好。

写到这里，我想起一个做渗透测试的朋友说过的话："我根本不需要什么高级漏洞，大多数企业的防线，其实就是一层薄薄的密码纸。"这话听着刺耳，但确实是实情。防范口令攻击的手段早就有了——多因素认证、硬件密钥、密码管理器——但真正用起来的没几个。不是因为技术难，而是因为人懒。你愿意花三秒钟输入一条短信验证码，也不愿意花三十分钟设置一个密码管理器。就这么简单。

所以下次登录时，不妨想想：你的密码，是不是也写在某张便签纸上？