2023年秋天，网站我帮朋友排查一台服务器。登录日志里有个IP，密码从凌晨两点到四点，暴力试了四万三千次登录。破解用户名全是网站admin，密码从123456试到P@ssw0rd2023。登录最后它放弃了，密码换了下一个IP。暴力这不是破解电影情节，是网站每天在互联网角落发生的日常。

暴力破解没什么技术含量。登录攻击者写个脚本，密码把常见密码排成字典，暴力一条条往登录接口里塞。破解服务器说“密码错误”，脚本就换下一个。速度快的话，每分钟能试几百上千次。一个弱密码，比如“password”或者“admin123”，几秒钟就破了。我见过最离谱的案例，某公司后台管理员密码是“888888”，攻击者试了三次就进去了。三次。比你在ATM机输错三次还少。

但这事也不是毫无门槛。大多数网站有防护。比如登录失败五次，账号锁定十五分钟。或者加个图形验证码，脚本就傻了。再或者限制同一IP的请求频率。问题是，这些防护经常形同虚设。账号锁定？攻击者换个用户名继续试。验证码？有OCR识别服务，一美元能解一千次。IP限制？用代理池，几千个IP轮着来。我见过一个攻击脚本，每试一次就换一个User-Agent，从Chrome到Firefox到老掉牙的IE6，伪装得像整个网吧都在登录同一个账号。

真正有效的防线其实就两条。第一条，密码足够长。长度比复杂度重要。一个二十位的纯小写字母密码，比八位的“Abc@1234”难破得多。因为暴力破解的耗时随长度指数增长，而字符集的影响是线性的。攻击者算过账：八位混合字符，普通显卡几小时能跑完；二十位纯小写，跑一百年也跑不完。第二条，双因素认证。密码对了还要手机验证码，或者硬件密钥。攻击者就算破了密码，也拿不到你手机。我自己的服务器就开了这个，登录时输完密码，还得从手机App点确认。麻烦，但安心。

有个细节很多人忽略。暴力破解不光是试密码，还试用户名。攻击者先跑一遍常见用户名列表：admin、root、test、user、guest。哪个返回“密码错误”而不是“用户不存在”，哪个就是有效账号。然后集中火力破这一个。所以网站登录接口的错误提示最好统一成“用户名或密码错误”，别分开说。这算是个小技巧，但能省掉不少麻烦。

我见过最聪明的防护是一个小论坛做的。登录失败三次后，页面不再报错，而是开始变慢。每次请求延迟增加两秒。攻击者脚本本来一分钟试三百次，现在一分钟试五次。试了半小时，攻击者自己放弃了。这招不封IP，不锁账号，就用时间拖垮你。成本几乎为零，效果出奇地好。

说到底，暴力破解能成功，往往不是因为攻击者多厉害，而是防守方太懒。默认密码不改，弱密码不换，双因素不开。攻击者就像挨个推门，大多数门锁着，但总有一扇没关。你不需要跑得比熊快，只需要跑得比旁边那个人快。密码安全也一样。

(责任编辑：时尚)