python密码破解代码

密码破解不是密码电影里那种黑客敲几下键盘就弹出进度条的酷炫场面。现实中，破解Python做暴力破解，代码本质上就是密码拿字典去撞，撞开一个算一个。破解我见过最蠢也最有效的代码代码，就二十行，密码纯粹用`requests`库对着登录接口发POST请求。破解

写破解脚本前得想清楚一件事：目标系统的代码防爆破机制有多烂。有的密码网站连验证码都没有，错误次数也不限制，破解那循环跑字典就行。代码但稍微像样的密码系统，你得先处理Cookie、破解Token，代码甚至要模拟浏览器指纹。我去年测试自家公司的内部系统，发现登录接口居然不校验Referer，直接拿curl都能打，那还写什么Python，Shell脚本就够了。

真正有点技术含量的，是撞库时的多线程和代理池。单线程跑10万条密码，得等到天亮。用`concurrent.futures`开20个线程，再配合免费代理IP轮换，速度能快十倍。但别高兴太早——目标服务器不是傻子，同一IP高频请求几分钟就触发封禁，代理池的质量直接决定你能跑多久。

代码长这样：

import requests from concurrent.futures import ThreadPoolExecutor def try_login(password): data = { 'username': 'admin', 'password': password} r = requests.post('http://target.com/login', data=data, timeout=5) return password if 'welcome' in r.text else None with ThreadPoolExecutor(max_workers=10) as pool: results = pool.map(try_login, open('rockyou.txt', 'r', encoding='latin-1').read().splitlines()) for res in results: if res: print('破解成功:', res) break 

这段代码能跑的前提是，目标接口不限制请求频率，且密码字典够全。rockyou.txt有1400万条，但大部分是弱密码。真正要防的不是这种脚本，而是有人拿到了数据库的哈希值，然后用Python的`hashlib`加盐撞。那种场景下，GPU比CPU快得多，Python反而不占优势。

写破解代码最容易被忽略的是异常处理。网络超时、连接重置、服务器返回500，任何一个没捕获都会让整个线程池崩溃。我习惯在`try_login`里加个重试机制，连续失败三次就换下一个代理。还有，别把密码明文打在日志里，万一脚本被人看到，你自己的密码字典就泄露了。

说实话，Python做密码破解，效率远不如Hashcat这类专用工具。但Python的优势在于灵活——遇到奇葩的登录流程，比如先加密再传输，你可以快速用`pycryptodome`写个RSA加密函数插进去。去年我遇到一个系统，前端用JavaScript把密码做了三次MD5再加盐，我直接在Python里复刻了那个算法，照样跑通。

最后提醒一句，破解自己公司的系统要提前报备。我见过有同事偷偷跑脚本被安全部门抓包，差点背处分。代码本身没有善恶，但用它的姿势不对，就是给自己找麻烦。真需要测试密码强度，用现成的`John the Ripper`或者在线工具，别自己造轮子——除非你想练手，那就当我没说。

本文地址：http://www.79wt.cn/news/854f1999126.html