凌晨两点十七分，暴力我盯着屏幕上那个闪烁的破解登录框，密码字典已经跑到了第八万三千位。网站对面是后台本地一家小公司的官网后台，防护弱得像个筛子——没有验证码，暴力没有锁定机制，破解连HTTPS都没配。网站这事要是后台搁在五年前，我连字典都不用跑，暴力直接试admin/admin就能进去。破解可现在不行了，网站连最懒的后台管理员都知道把密码改成admin123了。

暴力破解这事儿，暴力说白了就是破解拿时间换运气。你写个脚本，网站把常见密码、生日组合、键盘序列排成队列，然后一个接一个往登录接口上怼。服务器不会喊疼，但日志会记录每一次失败的尝试。真正有意思的不是技术本身，而是你在破解过程中能看见对面管理员的生活习惯——有人用公司名加年份，有人用孩子名字加电话号码，还有人干脆把密码贴在办公桌上拍照发朋友圈。

我见过最蠢的一个后台，密码是123456，但登录接口做了IP白名单。你得先黑进他们内网的一台打印机，再从打印机跳到文件服务器，最后才能碰到那个后台。绕了三个小时，结果进去一看，里面就一个新闻发布系统，最新一条动态还停留在2019年。你说这种人图什么？花大价钱买防火墙，结果最基础的密码安全都没做到位。

暴力破解的黄金法则其实就两条：一是字典要够大够杂，二是请求频率要控制得恰到好处。太快了会被WAF拦，太慢了又浪费时间。我习惯把速度调到每秒三次，既不会触发警报，又能在一晚上跑完二十万条。有些站长会设置连续五次失败就锁IP，这时候就得换代理池，从俄罗斯到巴西的IP轮着来，跟打游击似的。

有一次我接了个单子，目标是某教育机构的选课系统。对方要求必须在三天内拿到管理员权限，因为要赶在选课开放前改掉某门课的容量。我蹲了两天，发现他们后台有个密码重置功能，会往注册邮箱发临时链接。邮箱是学校自建的，弱口令一抓一大把——我试了admin@school.edu.cn/admin，居然直接进去了。然后我改了管理员密码，进去把选课人数从三十改成三百。整个过程没暴力破解任何东西，但比暴力破解有意思多了。

说到底，暴力破解是最笨的攻击方式，但它永远不会失效。因为人永远会选好记的密码，而好记的密码永远在字典里。你可以在登录框加滑块验证，可以搞双因子认证，但只要有人把密码设成P@ssw0rd，就总有人能撞开那扇门。我认识一个白帽子，专门给企业做渗透测试，他说他最喜欢测的就是高管账号——十个里有八个密码是老婆名字加出生年份。

写到这儿，我的字典跑完了，没中。我看了眼时间，快四点了。对面服务器的日志里应该躺着八万三千条失败的POST请求，像一串没人认领的脚印。我关掉脚本，决定明天换个思路——直接去查他们员工的LinkedIn，把生日和宠物名字组合成新字典。暴力破解从来不是技术活，是耐心活。