```html

如何破解网站密码

先泼盆冷水：绝大多数人以为的“破解”，其实是解网猜。真正的站密密码破解只有三条路——偷、撞、何破算。解网偷，站密是何破攻击服务器数据库；撞，是解网拿别的网站泄露的密码来试；算，是站密暴力枚举或字典攻击。而你坐在浏览器前对着登录框发呆，何破那不叫破解，解网叫碰运气。站密

我最早接触这事是何破2012年，一个朋友把自己博客密码忘了。解网他试了生日、站密手机号、前女友名字，全错。最后我在他电脑里翻出一个叫“密码.txt”的文件，打开一看，里面写着“blog: 123456”。他愣了三秒，然后骂了句脏话。这故事说明：密码安全的第一道裂缝，永远在人的习惯里。

网站登录框背后通常藏着两个东西：一个叫哈希，一个叫盐。哈希是把密码变成一串乱码，盐是给每个密码加点随机调料，让同样的密码在不同网站看起来不一样。比如你的密码是“iloveyou”，加盐后可能变成“iloveyou_7f3a9”，再哈希成“a1b2c3…”。服务器只存这个乱码。所以就算你黑进数据库，看到的也是一堆乱码，不是明文密码。

那怎么“破解”这种乱码？两种办法。一是彩虹表——预先算好海量常见密码的哈希值，然后拿数据库里的乱码去比对。但加了盐之后，彩虹表基本废了，因为每个用户的盐不同，你得为每个盐重新算一遍，成本高到离谱。二是暴力枚举，也就是从“aaaaaa”试到“zzzzzz”，或者用字典（比如rockyou.txt，里面有一千四百万条真实泄露密码）。我试过用hashcat跑一个8位纯数字密码，普通显卡每秒能算几亿次，几秒钟就出来了。但如果是12位混合大小写加符号，那得跑到宇宙热寂。

真正让网站密码形同虚设的，是撞库。2019年有个叫“Collection #1”的泄露数据集，包含7.7亿个邮箱和密码组合。很多人图省事，所有网站用同一个密码。黑客拿A网站泄露的邮箱密码，去B网站登录，成功率惊人。我做过一个小实验：拿一份公开的1000条泄露数据，去试某小型论坛的登录接口，结果有37个账号能直接登进去。那论坛还是用的MD5无盐哈希——2000年代的技术水平。

那普通人怎么防？别用同一个密码。别用生日、手机号、名字拼音。密码长度比复杂度重要——一个16位的纯小写字母短语，比8位“P@ssw0rd”难破得多。我自己的做法是用密码管理器生成随机串，比如“kR7#mQ2$vL9!xW4”，每个网站都不一样。记不住怎么办？记在管理器里，主密码用一句只有你知道的话，比如“我家的猫叫土豆但从来不抓老鼠2024”。

最后说个观察：很多网站还在用短信验证码当第二因素，但SIM卡交换攻击早就泛滥了。2023年我帮一个读者恢复账号，他的手机号被黑客补办了，验证码直接发到黑客手机上。所以更靠谱的是TOTP应用（比如Google Authenticator）或者硬件密钥。别嫌麻烦，你的邮箱、网银、社交账号，值得多花那十秒钟。

密码这东西，本质上是人和系统之间的信任契约。你偷懒，契约就脆弱。你认真，它就坚固。没有绝对安全，只有相对麻烦——让攻击者觉得破你的成本比破隔壁老王高，你就赢了。